Cisco Wireless LAN Controller コンフィギュレー ション ガイド

セキュリティ概要

Cisco UWN セキュリティ ソリューションは、802.11 アクセス ポイントのセキュリティを構成する潜在的に複雑なレイヤ 1、レイヤ 2、およびレイヤ 3 を 1 つのシンプルなポリシー マネージャにまとめたもので、システム全体のセキュリティ ポリシーを WLAN 単位でカスタマイズできます。Cisco UWN セキュリティ ソリューションは、シンプルで、統一された、体系的なセキュリティ管理ツールを提供します。

企業での WLAN 展開の最も大きな障害の 1 つが、脆弱な独立型の暗号化方式である Wired Equivalent Privacy（WEP）です。低価格のアクセス ポイントの登場も新たな問題であり、それらは企業ネットワークに接続して man-in-the-middle 攻撃や DoS 攻撃（サービス拒絶攻撃）に利用される可能性があります。また、次々に追加されるセキュリティ ソリューションの複雑さから、多くの IT マネージャが WLAN セキュリティの最新技術を採用することをためらっています。

レイヤ 1 ソリューション

Cisco UWN セキュリティ ソリューションによって、すべてのクライアントは、アクセスの試行回数をオペレータが設定した回数までに制限されます。クライアントがその制限回数内にアクセスできなかった場合、そのクライアントは、オペレータが設定したタイマーが切れるまで自動的に除外（アクセスをブロック）されます。オペレーティング システムでは、WLAN ごとに SSID ブロードキャストを無効にすることもできます。

レイヤ 2 ソリューション

上位レベルのセキュリティと暗号化が必要な場合、ネットワーク管理者は、Extensible Authentication Protocol（EAP; 拡張認証プロトコル）や Wi-Fi Protected Access（WPA）、および WPA2 など業界標準のセキュリティ ソリューションも実装できます。Cisco UWN Solution の WPA 実装には、Advanced Encryption Standard（AES）動的キー、Temporal Key Integrity Protocol + Message Integrity Code Checksum（TKIP + Michael）動的キー、WEP 静的キーが含まれます。無効化も使用され、オペレータが設定した回数だけ認証の試行に失敗すると、自動的にレイヤ 2 アクセスがブロックされます。

どの無線セキュリティ ソリューションを採用した場合も、コントローラと Lightweight アクセス ポイントとの間のすべてのレイヤ 2 有線通信は、Control and Provisioning of Wireless Access Points（CAPWAP）トンネルを使用してデータを渡すことにより保護されます。

レイヤ 3 ソリューション

WEP の問題は、パススルー Virtual Private Network（VPN; バーチャル プライベート ネットワーク）のような業界標準のレイヤ 3 セキュリティ ソリューションを使用すると、さらに進んだ解決が可能です。

Cisco UWN Solution では、ローカルおよび RADIUS Media Access Control（MAC; メディア アクセス制御）フィルタリングがサポートされています。このフィルタリングは、802.11 アクセス カード MAC アドレスの既知のリストがある小規模のクライアント グループに適しています。

さらに、Cisco UWN Solution では、ローカルおよび RADIUS ユーザおよびパスワード認証がサポートされています。この認証は、小規模から中規模のクライアント グループに適しています。

統合されたセキュリティ ソリューション

• Cisco UWN Solution オペレーティング システムのセキュリティは、堅牢な 802.1X AAA（認証、認可、アカウンティング）エンジンを中心に構築されており、オペレータは、Cisco UWN Solution 全体にわたってさまざまなセキュリティ ポリシーを迅速に設定および適用できます。

• コントローラおよび Lightweight アクセス ポイントには、システム全体の認証および認可プロトコルがすべてのポートおよびインターフェイスに装備され、最大限のシステム セキュリティが提供されています。

• オペレーティング システムのセキュリティ ポリシーは個別の WLAN に割り当てられ、Lightweight アクセス ポイントは設定されたすべての WLAN（最大 16）に同時にブロードキャストします。これにより、干渉を増加させ、システム スループットを低下させる可能性があるアクセス ポイントを追加する必要はなくなります。

• オペレーティング システム セキュリティは、RRM 機能を使用して、干渉およびセキュリティ侵犯がないか継続的に空間を監視し、それらを検出したときはオペレータに通知します。

• オペレーティング システム セキュリティは、業界標準の AAA サーバで動作し、システム統合が単純で簡単です。

ACS 上での RADIUS の設定

ACS 上で RADIUS を設定する手順は、次のとおりです。

（注） RADIUS は、CiscoSecure ACS バージョン 3.2 以上でサポートされます。この項に示される手順および図は、ACS バージョン 4.1 に関連するもので、他のバージョンでは異なる場合があります。実行しているバージョンの CiscoSecure ACS のマニュアルを参照してください。

ステップ 1 ACS のメイン ページで、[Network Configuration] を選択します。

ステップ 2 [AAA Clients] の下の [Add Entry] を選択し、使用しているコントローラをサーバに追加します。[Add AAA Client] ページが表示されます（図 5-1 を参照）。

図 5-1 CiscoSecure ACS の [Add AAA Client] ページ

ステップ 3 [AAA Client Hostname] フィールドに、コントローラの名前を入力します。

ステップ 4 [AAA Client IP Address] フィールドに、コントローラの IP アドレスを入力します。

ステップ 5 [Shared Secret] フィールドに、サーバとコントローラ間の認証に使用する共有秘密キーを入力します。

（注） 共有秘密キーは、サーバとコントローラの両方で同一である必要があります。

ステップ 6 [Authenticate Using] ドロップダウン ボックスから [RADIUS (Cisco Aironet)] を選択します。

ステップ 7 [Submit + Apply] をクリックして、変更内容を保存します。

ステップ 8 ACS のメイン ページで、[Interface Configuration] を選択します。

ステップ 9 [RADIUS (Cisco Aironet)] を選択します。[RADIUS (Cisco Aironet)] ページが表示されます。

ステップ 10 [User Group] の [Cisco-Aironet-Session-Timeout] チェックボックスをオンにします。

ステップ 11 [Submit] をクリックして、変更内容を保存します。

ステップ 12 ACS のメイン ページで、[System Configuration] を選択します。

ステップ 13 [Logging] を選択します。

ステップ 14 [Logging Configuration] ページが表示されたら、ログ記録するすべてのイベントを有効にし、変更内容を保存します。

ステップ 15 ACS のメイン ページで、[Group Setup] を選択します。

ステップ 16 [Group] ドロップダウン ボックスから、以前に作成したグループを選択します。

（注） この手順では、ユーザが割り当てられることになるロールに基づいて、ACS のグループにすでにユーザが割り当てられていることを想定しています。

ステップ 17 [Edit Settings] をクリックします。[Group Setup] ページが表示されます。

ステップ 18 [Cisco Aironet Attributes] の [Cisco-Aironet-Session-Timeout] チェックボックスをオンにして、編集ボックスにセッション タイムアウト値を入力します。

ステップ 19 RADIUS 認証を使用したコントローラへの読み取り専用アクセスまたは読み取りと書き込みアクセスを指定するには、Service-Type 属性（006）を設定します。読み取り専用アクセスが必要な場合は、[Callback NAS Prompt] を設定し、読み取りと書き込みの両方の権限が必要な場合は [Administrative] を設定してください。この属性を設定しない場合、認証プロセスはコントローラ上での認可エラーなしで正常に完了しますが、認証を再試行するようにプロンプトが表示されることがあります。

（注） ACS 上で Service-Type 属性を設定する場合は、コントローラの GUI の [RADIUS Authentication Servers] ページ上にある [Management] チェックボックスを必ずオンにします。詳細は、次の項のステップ 17 を参照してください。

（注） 「アクセス ポイントによって送信される RADIUS 認証属性」には、RADIUS 属性の一覧が示されています。この属性は、Access-Request パケットおよび Access-Accept パケットで Lightweight アクセス ポイントからクライアントに送信されます。

ステップ 20 [Submit] をクリックして、変更内容を保存します。

GUI を使用した RADIUS の設定

コントローラの GUI を使用して RADIUS を設定する手順は、次のとおりです。

ステップ 1 [Security] > [AAA] > [RADIUS] の順に選択します。

ステップ 2 次のいずれかの操作を行います。

• RADIUS サーバを認証用に設定する場合は、[Authentication] を選択します。

• RADIUS サーバをアカウンティング用に設定する場合は、[Accounting] を選択します。

（注） 認証およびアカウンティングの設定に使用される GUI ページには、ほとんど同じフィールドが含まれています。そのため、ここでは [Authentication] ページを例にとって、設定の手順を一度だけ示します。同じ手順に従って、複数のサービスまたは複数のサーバを設定できます。

[RADIUS Authentication（または Accounting）Servers] ページが表示されます（図 5-2 を参照）。

図 5-2 [RADIUS Authentication Servers] ページ

このページには、これまでに設定されたすべての RADIUS サーバが表示されます。

• 既存のサーバを削除するには、そのサーバの青いドロップダウンの矢印の上にカーソルを置いて、[Remove] を選択します。

• コントローラが特定のサーバに接続されるようにするには、そのサーバの青いドロップダウンの矢印の上にカーソルを置いて、[Ping] を選択します。

ステップ 3 [Call Station ID Type] ドロップダウン ボックスから、[IP Address]、[System MAC Address]、または [AP MAC Address] を選択して、送信側の IP アドレス、システムの MAC アドレス、または AP MAC アドレスが Access-Request メッセージで RADIUS サーバに送信されるかどうかを指定します。

ステップ 4 AES キー ラップ保護を使用して RADIUS からコントローラへのキーの転送を有効にするには、[Use AES Key Wrap] チェックボックスをオンにします。デフォルトではオフになっています。この機能は、FIPS を使用するユーザにとって必要です。

ステップ 5 [Apply] をクリックして、変更を適用します。

ステップ 6 次のいずれかの操作を行います。

• 既存の RADIUS サーバを編集するには、そのサーバのサーバ インデックス番号をクリックします。[RADIUS Authentication（または Accounting）Servers > Edit] ページが表示されます。

• RADIUS サーバを追加するには、[New] をクリックします。[RADIUS Authentication（または Accounting）Servers > New] ページが表示されます（図 5-3 を参照）。

図 5-3 [RADIUS Authentication Servers > New] ページ

ステップ 7 新しいサーバを追加する場合、[Server Index (Priority)] ドロップダウン ボックスから数字を選択し、同じサービスを提供するその他の設定済みの RADIUS サーバに対するこのサーバの優先順位を指定します。最大 17 台のサーバを設定できます。コントローラは、最初のサーバに接続できない場合、必要に応じてリスト内の 2 番目や 3 番目あるいはそれ以降のサーバへの接続を試行します。

ステップ 8 新しいサーバを追加する場合は、[Server IP Address] フィールドに、RADIUS サーバの IP アドレスを入力します。

ステップ 9 [Shared Secret Format] ドロップダウン ボックスから、[ASCII] または [Hex] を選択し、コントローラと RADIUS サーバ間で使用される共有秘密キーの形式を指定します。デフォルト値は [ASCII] です。

ステップ 10 [Shared Secret] フィールドおよび [Confirm Shared Secret] フィールドに、コントローラとサーバ間の認証に使用する共有秘密キーを入力します。

（注） 共有秘密キーは、サーバとコントローラの両方で同一である必要があります。

ステップ 11 新しい RADIUS 認証サーバを設定して AES キー ラップを有効にすると、コントローラと RADIUS サーバ間の共有秘密キーの安全性を高めることができます。そのための手順は、次のとおりです。AES キー ラップは、Federal Information Processing Standards（FIPS）を使用するユーザのために設計されており、キー ラップ準拠の RADIUS 認証サーバを必要とします。

a. [Key Wrap] チェックボックスをオンにします。[Key Wrap Format] ドロップダウン ボックスから [ASCII] または [Hex] を選択して、Key Encryption Key（KEK）または Message Authentication Code Key（MACK）の AES キー ラップ キーの形式を指定します。

b. [Key Encryption Key (KEK)] フィールドに、16 バイトの KEK を入力します。

c. [Message Authentication Code Key (MACK)] フィールドに、20 バイトの KEK を入力します。

ステップ 12 新しいサーバを追加する場合は、[Port Number] フィールドに、インターフェイス プロトコルに対する RADIUS サーバの UDP ポート番号を入力します。有効な値の範囲は 1 ～ 65535 で、認証用のデフォルト値は 1812、アカウンティング用のデフォルト値は 1813 です。

ステップ 13 [Server Status] フィールドから [Enabled] を選択して、この RADIUS サーバを有効にするか、[Disabled] を選択して無効にします。デフォルト値は [Enabled] です。

ステップ 14 新しい RADIUS 認証サーバを設定する場合は、[Support for RFC 3576] ドロップダウン ボックスから [Enabled] を選択して RFC 3576 を有効にするか、[Disabled] を選択してこの機能を無効にします。RFC 3576 では、ユーザ セッションへの動的な変更を可能にするよう RADIUS プロトコルが拡張されています。デフォルト値は [Enabled] です。RFC 3576 では、ユーザの切断およびユーザ セッションに適用される認可の変更のほか、Disconnect メッセージと Change-of-Authorization（CoA）メッセージがサポートされています。Disconnect メッセージは、ユーザ セッションをただちに中断させる原因となります。一方、CoA メッセージでは、データ フィルタなどのセッション認可属性が変更されます。

ステップ 15 [Server Timeout] フィールドに、再送信の間隔（秒数）入力します。有効な範囲は 2 ～ 30 秒で、デフォルト値は 2 秒です。

（注） 再認証が繰り返し試行されたり、プライマリ サーバがアクティブで接続可能なときにコントローラがバックアップ サーバにフォールバックする場合には、タイムアウト値を増やすことをお勧めします。

ステップ 16 ネットワーク ユーザ認証（アカウンティング）を有効にする場合は [Network User] チェックボックスをオンにします。この機能を無効にする場合は、オフにします。デフォルト値はオンです。この機能を有効にすると、ここで設定するサーバはネットワーク ユーザの RADIUS 認証（アカウンティング）サーバと見なされます。WLAN 上の RADIUS サーバを設定しなかった場合は、ネットワーク ユーザに対してこのオプションを有効にする必要があります。

ステップ 17 RADIUS 認証サーバを設定するには、[Management] チェックボックスをオンにして管理認証を有効にします。この機能を無効にする場合は、オフにします。デフォルト値はオンです。この機能を有効にすると、ここで設定するサーバは管理ユーザの RADIUS 認証サーバと見なされ、認証要求が RADIUS サーバに送られます。

ステップ 18 IP セキュリティ メカニズムを有効にする場合は、[IPSec] チェックボックスをオンにします。この機能を無効にする場合は、オフにします。デフォルトではオフになっています。

（注） [IPSec] オプションは、Crypto カードがコントローラに取り付けられている場合に限り表示されます。

ステップ 19 ステップ 18 で IPSec を有効にした場合は、次の手順に従って追加の IPSec パラメータを設定します。

a. [IPSec] ドロップダウン ボックスから、IP セキュリティで使用する認証プロトコルとして、[HMAC MD5] または [HMAC SHA1] のいずれかのオプションを選択します。デフォルト値は [HMAC SHA1] です。

Message Authentication Code（MAC; メッセージ認証コード）は、秘密キーを共有する 2 者間で送信される情報を検証するために使用されます。Hash Message Authentication Code（HMAC）は、暗号ハッシュ関数に基づくメカニズムです。任意の反復暗号ハッシュ関数との組み合わせで使用できます。HMAC でハッシュ関数として MD5 を使用するのが HMAC MD5 であり、SHA1 を使用するのが HMAC SHA1 です。また、HMAC では、メッセージ認証値の計算と検証に秘密キーを使用します。

b. [IPSec Encryption] ドロップダウン ボックスで次のオプションのいずれかを選択して、IP セキュリティ暗号化メカニズムを指定します。

• [DES] ： Data Encryption Standard（DES; データ暗号化規格）は、プライベート（秘密）キーを使用するデータ暗号化の方法です。DES では、56 ビットのキーを 64 ビットのデータ ブロックごとに適用します。

• [3DES] ： 連続して 3 つのキーを適用するデータ暗号化規格です。これはデフォルト値です。

• [AES CBS] ： Advanced Encryption Standard（AES）では、128、192、または 256 ビット長のキーを使用して 128、192、または 256 ビット長のデータ ブロックを暗号化します。AES 128 CBC では、Cipher Block Chaining（CBC; 暗号ブロック連鎖）モードで 128 ビットのデータ パスを使用します。

c. [IKE Phase 1] ドロップダウン ボックスから、[Aggressive] または [Main] のいずれかのオプションを選択して、Internet Key Exchange（IKE; インターネット キー エクスチェンジ）プロトコルを指定します。デフォルト値は [Aggressive] です。

IKE Phase 1 は、IKE の保護方法をネゴシエートするために使用されます。Aggressive モードでは、セキュリティ ゲートウェイの ID をクリアで送信するだけで、わずかに高速な接続が確立され、より少ないパケットでより多くの情報が渡されます。

d. [Lifetime] フィールドに、値（秒単位）を入力してセッションのタイムアウト間隔を指定します。有効な範囲は 1800 ～ 57600 秒で、デフォルト値は 1800 秒です。

e. [IKE Diffie Hellman Group] ドロップダウン ボックスから、[Group 1 (768 bits)]、[Group 2 (1024 bits)]、または [Group 5 (1536 bits)] のいずれかのオプションを選択して、IKE Diffie Hellman グループを指定します。デフォルト値は [Group 1 (768 bits)] です。

Diffie Hellman 技術を 2 つのデバイスで使用して共通キーを生成します。このキーを使用すると、値を公開された状態で交換して、同じ共通キーを生成することができます。3 つのグループのすべてで従来の攻撃に対するセキュリティが確保されますが、キーのサイズが大きいことから、Group 5 の安全性がより高くなります。ただし、Group 1 および Group 2 のキーを使用した計算は、素数サイズがより小さいために、多少高速に実行される可能性があります。

ステップ 20 [Apply] をクリックして、変更を適用します。

ステップ 21 [Save Configuration] をクリックして、変更を保存します。

ステップ 22 同じサーバ上または追加の RADIUS サーバ上で追加のサービスを設定する場合は、上記の手順を繰り返します。

ステップ 23 RADIUS サーバのフォールバック動作を指定する手順は、次のとおりです。

a. [Security] > [AAA] > [RADIUS] > [Fallback] の順に選択して、[RADIUS > Fallback Parameters] ページを開きます（図 5-4 を参照）。

図 5-4 [RADIUS > Fallback Parameters] ページ

b. [Fallback Mode] ドロップダウン ボックスから、次のいずれかのオプションを選択します。

• [Off] ： RADIUS サーバのフォールバックを無効にします。これはデフォルト値です。

• [Passive] ： コントローラが、関係のないプローブ メッセージを使用することなく、使用可能なバックアップ サーバからより低い優先順位を持つサーバへの復帰を実行するようにします。コントローラは、ある期間だけすべての非アクティブ サーバを無視し、後で RADIUS メッセージの送信が必要になったときに再試行します。

• [Active] ： コントローラが、RADIUS プローブ メッセージを使用して、使用可能なバックアップ サーバからより低い優先順位を持つサーバへの復帰を実行し、非アクティブとマークされたサーバがオンラインに戻ったかどうかを判断するようにします。コントローラは、すべてのアクティブ RADIUS 要求に対して、すべての非アクティブ サーバを無視します。プライマリ サーバが回復した ACS サーバからの応答を一旦受信すると、アクティブ フォールバック RADIUS サーバは、アクティブ プローブ認証を要求しているサーバにプローブ メッセージを送信しなくなります。

c. b. でフォールバック モードを [Active] にした場合は、非アクティブなサーバ プローブで送信される名前を [Username] フィールドに入力します。最大 16 文字の英数字を入力できます。デフォルト値は「cisco-probe」です。

d. b. でフォールバック モードを [Active] にした場合は、[Interval in Sec] フィールドにプローブ間隔値（秒単位）を入力します。この間隔は、Passive モードでの非アクティブ時間、および Active モードでのプローブ間隔としての意味を持ちます。有効な範囲は 180 ～ 3600 秒で、デフォルト値は 300 秒です。

ステップ 24 複数のデータベースを設定する際の認証の順序を指定するには、[Security] > [Priority Order] > [Management User] の順に選択します。[Priority Order > Management User] ページが表示されます（図 5-5 を参照）。

図 5-5 [Priority Order > Management User] ページ

ステップ 25 [Order Used for Authentication] フィールドでは、コントローラによって管理ユーザの認証が試行される際に、どのサーバを優先するかを指定します。[Not Used] フィールドと [Order Used for Authentication] フィールドとの間でサーバを移動するには、[>] および [<] ボタンを使用します。[Order Used for Authentication] フィールドに希望するサーバが表示されたら、[Up] ボタンと [Down] ボタンを使用して優先するサーバをリストの先頭に移動します。

デフォルトで、ローカル データベースは常に最初に検索されます。ユーザ名が見つからない場合、コントローラは、RADIUS に設定されている場合は RADIUS サーバへの切り換え、TACACS+ に設定されている場合は TACACS+ サーバへの切り換えを行います。デフォルトの設定はローカル、RADIUS の順になっています。

ステップ 26 [Apply] をクリックして、変更を適用します。

ステップ 27 [Save Configuration] をクリックして、変更を保存します。

CLI を使用した RADIUS の設定

コントローラの CLI を使用して RADIUS を設定する手順は、次のとおりです。

（注） CLI コマンドで使用されるパラメータの有効範囲およびデフォルト値については、「GUI を使用した RADIUS の設定」を参照してください。

ステップ 1 送信側の IP アドレス、システムの MAC アドレス、または AP MAC アドレスが Access-Request メッセージで RADIUS サーバに送信されるかどうかを指定するには、次のコマンドを入力します。

config radius callStationIdType { ip_address, mac_address, ap_mac_address, ap_macaddr_ssid }

ステップ 2 Access-Request メッセージで RADIUS 認証サーバまたはアカウンティング サーバに送信される MAC アドレスにデリミタを指定するには、次のコマンドを入力します。

config radius { auth | acct } mac-delimiter {colon | hyphen | single-hyphen | none }

• colon はデリミタをコロンに設定します（書式は xx:xx:xx:xx:xx:xx となります）。

• hyphen はデリミタをハイフンに設定します（書式は xx-xx-xx-xx-xx-xx となります）。これはデフォルト値です。

• single-hyphen はデリミタを単一のハイフンに設定します（書式は xxxxxx-xxxxxx となります）。

• none はデリミタを無効にします（書式は xxxxxxxxxxxx となります）。

ステップ 3 RADIUS 認証サーバを設定するには、次のコマンドを使用します。

• config radius auth add index server_ip_address port# { ascii | hex } shared_secret ：RADIUS 認証サーバを追加します。

• config radius auth keywrap {enable | disable } ： AES キー ラップを有効にします。これによって、コントローラと RADIUS サーバ間の共有秘密キーの安全性が高まります。AES キー ラップは、Federal Information Processing Standards（FIPS）を使用するユーザのために設計されており、キー ラップ準拠の RADIUS 認証サーバを必要とします。

• config radius auth keywrap add {ascii | hex } kek mack index： AES キー ラップ属性を設定します。

– kek では、16 バイトの Key Encryption Key（KEK）が指定されます。

– mack では、20 バイトの Message Authentication Code Key（MACK）が指定されます。

– index では、AES キー ラップを設定する RADIUS 認証サーバのインデックスが指定されます。

• config radius auth rfc3576 {enable | disable } index ：RFC 3576 を有効または無効にします。RFC 3576 では、ユーザ セッションへの動的な変更を可能にするように RADIUS プロトコルが拡張されています。RFC 3576 では、ユーザの切断およびユーザ セッションに適用される認可の変更のほか、Disconnect メッセージと Change-of-Authorization（CoA）メッセージがサポートされています。Disconnect メッセージは、ユーザ セッションをただちに中断させる原因となります。一方、CoA メッセージでは、データ フィルタなどのセッション認可属性が変更されます。

• config radius auth retransmit-timeout index timeout ：RADIUS 認証サーバの再送信のタイムアウト値を設定します。

• config radius auth network index {enable | disable }：ネットワーク ユーザ認証を有効または無効にします。この機能を有効にすると、こここで設定するサーバはネットワーク ユーザの RADIUS 認証サーバと見なされます。WLAN 上の RADIUS サーバを設定しなかった場合は、ネットワーク ユーザに対してこのオプションを有効にする必要があります。

• config radius auth management index {enable | disable }：管理認証を有効または無効にします。この機能を有効にすると、ここで設定するサーバは管理ユーザの RADIUS 認証サーバと見なされ、認証要求が RADIUS サーバに送られます。

• config radius auth ipsec { enable | disable } index ：IP セキュリティ メカニズムを有効または無効にします。

• config radius auth ipsec authentication { hmac-md5 | hmac-sha1 } index ：IP セキュリティに使用する認証プロトコルを設定します。

• config radius auth ipsec encryption { 3des | aes | des | none } index ：IP セキュリティ暗号化メカニズムを設定します。

• config radius auth ipsec ike dh-group { group-1 | group-2 | group-5 } index ：IKE Diffie Hellman グループを設定します。

• config radius auth ipsec ike lifetime interval index ：セッションのタイムアウト間隔を設定します。

• config radius auth ipsec ike phase1 { aggressive | main } index ：Internet Key Exchange（IKE）プロトコルを設定します。

• config radius auth { enable | disable } index ：RADIUS 認証サーバを有効または無効にします。

• config radius auth delete index ：以前に追加された RADIUS 認証サーバを削除します。

ステップ 4 RADIUS アカウンティング サーバを設定するには、次のコマンドを使用します。

• config radius acct add index server_ip_address port# { ascii | hex } shared_secret ：RADIUS アカウンティング サーバを追加します。

• config radius acct server-timeout index timeout ：RADIUS アカウンティング サーバの再送信のタイムアウト値を設定します。

• config radius acct network index {enable | disable }：ネットワーク ユーザ アカウンティングを有効または無効にします。この機能を有効にすると、ここで設定するサーバはネットワーク ユーザの RADIUS アカウンティング サーバと見なされます。WLAN 上の RADIUS サーバを設定しなかった場合は、ネットワーク ユーザに対してこのオプションを有効にする必要があります。

• config radius acct ipsec { enable | disable } index ：IP セキュリティ メカニズムを有効または無効にします。

• config radius acct ipsec authentication { hmac-md5 | hmac-sha1 } index ：IP セキュリティに使用する認証プロトコルを設定します。

• config radius acct ipsec encryption { 3des | aes | des | none } index ：IP セキュリティ暗号化メカニズムを設定します。

• config radius acct ipsec ike dh-group { group-1 | group-2 | group-5 } index ：IKE Diffie Hellman グループを設定します。

• config radius acct ipsec ike lifetime interval index ：セッションのタイムアウト間隔を設定します。

• config radius acct ipsec ike phase1 { aggressive | main } index ：Internet Key Exchange（IKE）プロトコルを設定します。

• config radius acct { enable | disable } index ：RADIUS アカウンティング サーバを有効または無効にします。

• config radius acct delete index ：以前に追加された RADIUS アカウンティング サーバを削除します。

ステップ 5 RADIUS サーバのフォールバック動作 を設定するには、次のコマンドを入力します。

config radius fallback-test mode {off | passive | active}

• off は、RADIUS サーバのフォールバックを無効にします。

• passive は、コントローラが、関係のないプローブ メッセージを使用することなく、使用可能なバックアップ サーバからより低い優先順位を持つサーバへの復帰を実行するようにします。コントローラは、ある期間だけすべての非アクティブ サーバを無視し、後で RADIUS メッセージの送信が必要になったときに再試行します。

• active は、コントローラが、RADIUS プローブ メッセージを使用して、使用可能なバックアップ サーバからより低い優先順位を持つサーバへの復帰を実行し、非アクティブとマークされたサーバがオンラインに戻ったかどうかを判断するようにします。コントローラは、すべてのアクティブ RADIUS 要求に対して、すべての非アクティブ サーバを無視します。プライマリ サーバが回復した ACS サーバからの応答を一旦受信すると、アクティブ フォールバック RADIUS サーバは、アクティブ プローブ認証を要求しているサーバにプローブ メッセージを送信しなくなります。

ステップ 6 ステップ 5 で Active モードを有効にした場合は、次のコマンドを入力して追加のフォールバック パラメータを設定します。

• config radius fallback-test username username ： 非アクティブなサーバ プローブで送信する名前を指定します。 username パラメータ には、最大 16 文字の英数字を入力できます。

• config radius fallback-test interval interval ： プローブ間隔（秒単位）を指定します。

ステップ 7 変更を保存するには、次のコマンドを入力します。

save config

ステップ 8 複数のデータベースを設定する場合の認証の順序を設定するには、次のコマンドを入力します。

config aaa auth mgmt AAA_server_type AAA_server_type

ここで、 AAA_server_type は local、radius、または tacacs となります。

現在の管理認証サーバの順序を表示するには、次のコマンドを入力します。

show aaa auth

次のような情報が表示されます。

ステップ 9 次のコマンドを使用して、RADIUS の統計情報を表示します。

• show radius summary ：RADIUS サーバと統計情報の概要を表示します。

• show radius auth statistics ：RADIUS 認証サーバの統計情報を表示します。

• show radius acct statistics ：RADIUS アカウンティング サーバの統計情報を表示します。

• show radius rfc3576 statistics ：RADIUS RFC 3576 サーバの概要を表示します。

show radius auth statistics コマンドに対しては、次のような情報が表示されます。

show radius acct statistics コマンドに対しては、次のような情報が表示されます。

show radius rfc3576 statistics コマンドに対しては、次のような情報が表示されます。

ステップ 10 次のコマンドを使用して、アクティブなセキュリティ アソシエーションを表示します。

• show ike {brief | detailed} ip_or_mac_addr ：アクティブな Internet Key Exchange（IKE）セキュリティ アソシエーションの簡単な概要または詳しい要約を表示します。

• show ipsec {brief | detailed} ip_or_mac_addr ：アクティブな Internet Protocol Security（IPSec）セキュリティ アソシエーションの簡単な概要または詳しい要約を表示します。

ステップ 11 1 台または複数台の RADIUS サーバの統計情報をクリアするには、次のコマンドを入力します。

clear stats radius { auth | acct} { index | all }

ステップ 12 コントローラが RADIUS サーバに接続できることを確認するには、次のコマンドを入力します。

ping server_ip_address

アクセス ポイントによって送信される RADIUS 認証属性

この項の表には、RADIUS 認証属性が示されています。この認証属性は、Access-Request パケットおよび Access-Accept パケットで Lightweight アクセス ポイントからクライアントに送信されます。

（注） シスコ固有の属性 Auth-Algo-Type および SSID はサポートされません。

（注） メッセージ オーセンティケータはサポートされていません。

RADIUS アカウンティング属性

表 5-6 に、コントローラから RADIUS サーバに送信されるアカウンティング要求の RADIUS アカウンティング属性を示します。 表 5-7 には Accounting-Status-Type 属性（40）のさまざまな値の一覧を表示します。

ACS 上での TACACS+ の設定

ACS 上で TACACS+ を設定する手順は、次のとおりです。

（注） TACACS+ は、CiscoSecure ACS バージョン 3.2 以上でサポートされます。この項に示される手順および図は、ACS バージョン 4.1 に関連するもので、他のバージョンでは異なる場合があります。実行しているバージョンの CiscoSecure ACS のマニュアルを参照してください。

ステップ 1 ACS のメイン ページで、[Network Configuration] を選択します。

ステップ 2 [AAA Clients] の下の [Add Entry] を選択し、使用しているコントローラをサーバに追加します。[Add AAA Client] ページが表示されます（図 5-6 を参照）。

図 5-6 CiscoSecure ACS の [Add AAA Client] ページ

ステップ 3 [AAA Client Hostname] フィールドに、コントローラの名前を入力します。

ステップ 4 [AAA Client IP Address] フィールドに、コントローラの IP アドレスを入力します。

ステップ 5 [Shared Secret] フィールドに、サーバとコントローラ間の認証に使用する共有秘密キーを入力します。

（注） 共有秘密キーは、サーバとコントローラの両方で同一である必要があります。

ステップ 6 [Authenticate Using] ドロップダウン ボックスから [TACACS+ (Cisco IOS)] を選択します。

ステップ 7 [Submit + Apply] をクリックして、変更内容を保存します。

ステップ 8 ACS のメイン ページで、[Interface Configuration] を選択します。

ステップ 9 [TACACS+ (Cisco IOS)] を選択します。[TACACS+ (Cisco)] ページが表示されます（図 5-7 を参照）。

図 5-7 CiscoSecure ACS の [TACACS+ (Cisco)] ページ

ステップ 10 [TACACS+ Services] で、[Shell (exec)] チェックボックスをオンにします。

ステップ 11 [New Services] で、最初のチェックボックスをオンにし、[Service] フィールドに ciscowlc と入力し、[Protocol] フィールドに common と入力します。

ステップ 12 [Advanced Configuration Options] で、[Advanced TACACS+ Features] チェックボックスをオンにします。

ステップ 13 [Submit] をクリックして、変更内容を保存します。

ステップ 14 ACS のメイン ページで、[System Configuration] を選択します。

ステップ 15 [Logging] を選択します。

ステップ 16 [Logging Configuration] ページが表示されたら、ログ記録するすべてのイベントを有効にし、変更内容を保存します。

ステップ 17 ACS のメイン ページで、[Group Setup] を選択します。

ステップ 18 [Group] ドロップダウン ボックスから、以前に作成したグループを選択します。

（注） この手順では、ユーザが割り当てられることになるロールに基づいて、ACS のグループにすでにユーザが割り当てられていることを想定しています。

ステップ 19 [Edit Settings] をクリックします。[Group Setup] ページが表示されます（図 5-8 を参照）。

図 5-8 CiscoSecure ACS の [Group Setup] ページ

ステップ 20 [TACACS+ Settings] の [ciscowlc common] チェックボックスをオンにします。

ステップ 21 [Custom Attributes] チェックボックスをオンにします。

ステップ 22 [Custom Attributes] の下のテキストボックスで、このグループに割り当てるロールを指定します。使用可能なロールは、MONITOR、WLAN、CONTROLLER、WIRELESS、SECURITY、MANAGEMENT、COMMANDS、ALL、および LOBBY です。前述のように、最初の 7 つのロールは、コントローラ GUI のメニュー オプションに対応しており、これら特定のコントローラ機能へのアクセスを許可します。グループでの必要性に応じて、1 つまたは複数のロールを入力できます。7 つのロールすべてを指定するには ALL を、ロビー アンバサダー ロールを指定するには LOBBY を使用します。次の形式を使用してロールを入力します。

role x = ROLE

たとえば、特定のユーザ グループに対して WLAN、CONTROLLER、および SECURITY のロールを指定するには、次のテキストを入力します。

あるユーザ グループに 7 つのロールすべてに対するアクセスを付与するには、次のテキストを入力します。

（注） 必ず上記の形式を使用してロールを入力するようにしてください。ロールはすべて大文字で入力する必要があり、テキスト間にスペースは挿入できません。

（注） MONITOR ロールまたは LOBBY ロールは、その他のロールと組み合わせることはできません。[Custom Attributes] テキストボックスにこれら 2 つのロールのどちらかを指定すると、追加のロールが指定された場合でも、ユーザには MONITOR または LOBBY 権限のみが付与されます。

ステップ 23 [Submit] をクリックして、変更内容を保存します。

GUI を使用した TACACS+ の設定

コントローラの GUI を使用して TACACS+ を設定する手順は、次のとおりです。

ステップ 1 [Security] > [AAA] > [TACACS+] の順に選択します。

ステップ 2 次のいずれかの操作を行います。

• TACACS+ サーバを認証用に設定する場合は、[Authentication] を選択します。

• TACACS+ サーバを認可用に設定する場合は、[Authorization] を選択します。

• TACACS+ サーバをアカウンティング用に設定する場合、[Accounting] をクリックします。

（注） 認証、認可、アカウンティングの設定に使用される GUI ページには、すべて同じフィールドが含まれます。そのため、ここでは [Authentication] ページを例にとって、設定の手順を一度だけ示します。同じ手順に従って、複数のサービスまたは複数のサーバを設定できます。

[TACACS+（Authentication、Authorization、または Accounting）Servers] ページが表示されます（図 5-9 を参照）。

図 5-9 [TACACS+ Authentication Servers] ページ

このページでは、これまでに設定されたすべての TACACS+ サーバが表示されます。

• 既存のサーバを削除するには、そのサーバの青いドロップダウンの矢印の上にカーソルを置いて、[Remove] を選択します。

• コントローラが特定のサーバに接続されるようにするには、そのサーバの青いドロップダウンの矢印の上にカーソルを置いて、[Ping] を選択します。

ステップ 3 次のいずれかの操作を行います。

• 既存の TACACS+ サーバを編集するには、そのサーバのサーバ インデックス番号をクリックします。[TACACS+（Authentication、Authorization、または Accounting）Servers > Edit] ページが表示されます。

• TACACS+ サーバを追加するには、[New] をクリックします。[TACACS+（Authentication、Authorization、または Accounting）Servers > New] ページが表示されます（図 5-10 を参照）。

図 5-10 [TACACS+ Authentication Servers >New] ページ

ステップ 4 新しいサーバを追加する場合、[Server Index (Priority)] ドロップダウン ボックスから数字を選択し、同じサービスを提供するその他の設定済みの TACACS+ サーバに対するこのサーバの優先順位を指定します。最大 3 台のサーバを設定できます。コントローラが最初のサーバに接続できない場合、リスト内の 2 番目および必要に応じて 3 番目のサーバへの接続を試行します。

ステップ 5 新しいサーバを追加する場合は、[Server IP Address] フィールドに、TACACS+ サーバの IP アドレスを入力します。

ステップ 6 [Shared Secret Format] ドロップダウン ボックスから、[ASCII] または [Hex] を選択し、コントローラと TACACS+ サーバ間で使用される共有秘密キーの形式を指定します。デフォルト値は [ASCII] です。

ステップ 7 [Shared Secret] フィールドおよび [Confirm Shared Secret] フィールドに、コントローラとサーバ間の認証に使用する共有秘密キーを入力します。

（注） 共有秘密キーは、サーバとコントローラの両方で同一である必要があります。

ステップ 8 新しいサーバを追加する場合は、[Port Number] フィールドに、インターフェイス プロトコルに対する TACACS+ サーバの TCP ポート番号を入力します。有効な範囲は 1 ～ 65535 で、デフォルト値は 49 です。

ステップ 9 [Server Status] フィールドから [Enabled] を選択して、この TACACS+ サーバを有効にするか、[Disabled] を選択して無効にします。デフォルト値は [Enabled] です。

ステップ 10 [Server Timeout] フィールドに、再送信の間隔（秒数）を入力します。有効な範囲は 5 ～ 30 秒で、デフォルト値は 5 秒です。

（注） 再認証が繰り返し試行されたり、プライマリ サーバがアクティブで接続可能なときにコントローラがバックアップ サーバにフォールバックする場合には、タイムアウト値を増やすことをお勧めします。

ステップ 11 [Apply] をクリックして、変更を適用します。

ステップ 12 [Save Configuration] をクリックして、変更を保存します。

ステップ 13 同じサーバ上で、または追加の TACACS+ サーバ上で追加のサービスを設定する場合は、上記の手順を繰り返します。

ステップ 14 複数のデータベースを設定する際の認証の順序を指定するには、[Security] > [Priority Order] > [Management User] の順に選択します。[Priority Order > Management User] ページが表示されます（図 5-11 を参照）。

図 5-11 [Priority Order > Management User] ページ

ステップ 15 [Order Used for Authentication] フィールドでは、コントローラによって管理ユーザの認証が試行される際に、どのサーバを優先するかを指定します。[Not Used] フィールドと [Order Used for Authentication] フィールドとの間でサーバを移動するには、[>] および [<] ボタンを使用します。[Order Used for Authentication] フィールドに希望するサーバが表示されたら、[Up] ボタンと [Down] ボタンを使用して優先するサーバをリストの先頭に移動します。

デフォルトで、ローカル データベースは常に最初に検索されます。ユーザ名が見つからない場合、コントローラは、RADIUS に設定されている場合は RADIUS サーバへの切り換え、TACACS+ に設定されている場合は TACACS+ サーバへの切り換えを行います。デフォルトの設定はローカル、RADIUS の順になっています。

ステップ 16 [Apply] をクリックして、変更を適用します。

ステップ 17 [Save Configuration] をクリックして、変更を保存します。

CLI を使用した TACACS+ の設定

コントローラ CLI を使用して TACACS+ を設定するには、この項のコマンドを使用します。

（注） CLI コマンドで使用されるパラメータの有効範囲およびデフォルト値については、「GUI を使用した TACACS+ の設定」を参照してください。

1. TACACS+ 認証サーバを設定するには、次のコマンドを使用します。

• config tacacs auth add index server_ip_address port# { ascii | hex } shared_secret ：TACACS+ 認証サーバを追加します。

• config tacacs auth delete index ：以前に追加された TACACS+ 認証サーバを削除します。

• config tacacs auth ( enable | disable } index ：TACACS+ 認証サーバを有効または無効にします。

• config tacacs auth server-timeout index timeout ：TACACS+ 認証サーバの再送信のタイムアウト値を設定します。

2. TACACS+ 認可サーバを設定するには、次のコマンドを使用します。

• config tacacs athr add index server_ip_address port# { ascii | hex } shared_secret ：TACACS+ 認可サーバを追加します。

• config tacacs athr delete index ：以前に追加された TACACS+ 認可サーバを削除します。

• config tacacs athr ( enable | disable } index ：TACACS+ 認可サーバを有効または無効にします。

• config tacacs athr server-timeout index timeout ：TACACS+ 認可サーバの再送信のタイムアウト値を設定します。

3. TACACS+ アカウンティング サーバを設定するには、次のコマンドを使用します。

• config tacacs acct add index server_ip_address port# { ascii | hex } shared_secret ：TACACS+ アカウンティング サーバを追加します。

• config tacacs acct delete index ：以前に追加された TACACS+ アカウンティング サーバを削除します。

• config tacacs acct ( enable | disable } index ：TACACS+ アカウンティング サーバを有効または無効にします。

• config tacacs acct server-timeout index timeout ：TACACS+ アカウンティングの再送信のタイムアウト値を設定します。

4. 次のコマンドを使用して、TACACS+ の統計を表示します。

• show tacacs summary ：TACACS+ サーバと統計情報の概要を表示します。

• show tacacs auth stats ：TACACS+ 認証サーバの統計情報を表示します。

• show tacacs athr stats ：TACACS+ 認可サーバの統計情報を表示します。

• show tacacs acct stats ：TACACS+ アカウンティング サーバの統計情報を表示します。

たとえば、 show tacacs summary コマンドに対しては、次のような情報が表示されます。

show tacacs auth stats コマンドに対しては、次のような情報が表示されます。

Other Drops....................................0

5. 1 台または複数台の TACACS+ サーバの統計をクリアするには、次のコマンドを入力します。

clear stats tacacs [ auth | athr | acct ] { index | all }

6. 複数のデータベースを設定する場合の認証の順序を設定するには、次のコマンドを入力します。デフォルトの設定はローカル、radius の順になっています。

config aaa auth mgmt [ radius | tacacs ]

現在の管理認証サーバの順序を表示するには、次のコマンドを入力します。

show aaa auth

次のような情報が表示されます。

7. コントローラが確実に TACACS+ サーバに接続できるようにするには、次のコマンドを入力します。

ping server_ip_address

8. TACACS+ のデバッグを有効または無効にするには、次のコマンドを入力します。

debug aaa tacacs { enable | disable }

9. 変更を保存するには、次のコマンドを入力します。

save config

TACACS+ 管理サーバのログの表示

コントローラ上で TACACS+ アカウンティング サーバが設定されている場合、TACACS+ 管理サーバのログを表示する手順は、次のとおりです。

ステップ 1 ACS のメイン ページで、[Reports and Activity] を選択します。

ステップ 2 [TACACS+ Administration] を選択します。

ステップ 3 表示するログの日付に対応する .csv ファイルをクリックします。[TACACS+ Administration .csv] ページが表示されます（図 5-12 を参照）。

図 5-12 CiscoSecure ACS の [TACACS+ Administration .csv] ページ

このページには、次の情報が表示されます。

• 処理が実行された日付と時刻

• 処理を実行したユーザの名前と割り当てられたロール

• ユーザが属するグループ

• ユーザが実行した特定の処理

• 処理を実行したユーザの権限レベル

• コントローラの IP アドレス

• 処理が実行されたノートパソコンまたはワークステーションの IP アドレス

単一の処理（またはコマンド）が、コマンド内のパラメータごとに、複数回ログ記録される場合があります。たとえば、ユーザが snmp community ipaddr ip_address subnet_mask community_name というコマンドを入力したとします。その場合、ある行では、IP アドレスはログに記録されても、サブネット マスクとコミュニティ名はログに「E」と記録されることがあります。また、別の行では、サブネット マスクはログに記録されても、IP アドレスとコミュニティ名はログに「E」と記録されることがあります。図 5-13 の例の最初の行と 3 番目の行を参照してください。

図 5-13 CiscoSecure ACS の [TACACS+ Administration .csv] ページ

（注） [Refresh] をクリックすると、いつでもこのページを更新できます。

GUI を使用した最大ローカル データベース エントリの設定

コントローラの GUI を使用して、ローカル データベース エントリの最大数を設定する手順は、次のとおりです。

ステップ 1 [Security] > [AAA] > [General] の順に選択して、[General] ページを開きます（図 5-14 を参照）。

図 5-14 [General] ページ

ステップ 2 [Maximum Local Database Entries] フィールドに、次回コントローラがリブートした際にローカル データベースに追加できる最大エントリ数を入力します。現在設定されている値が、フィールドの右側のカッコ内に表示されます。有効な範囲は 512 ～ 2048 で、デフォルトの設定は 2048 です。

[Number of Entries, Already Used] フィールドには、データベースに現存するエントリ数が表示されます。

ステップ 3 [Apply] をクリックして、変更を適用します。

ステップ 4 [Save Configuration] をクリックして、設定を保存します。

CLI を使用した最大ローカル データベース エントリの設定

ローカル データベース エントリの最大を設定するには、コントローラ CLI を使用して次の手順を実行します。

ステップ 1 次回コントローラがリブートした際にローカル データベースに追加できる最大エントリ数を指定するには、次のコマンドを入力します。

config database size max_entries

ステップ 2 変更を保存するには、次のコマンドを入力します。

save config

ステップ 3 データベース エントリの最大数およびデータベースの現在の内容を表示するには、次のコマンドを入力します。

show database summary

次のような情報が表示されます。

GUI を使用したローカル ネットワーク ユーザの設定

コントローラ GUI を使用してローカル ネットワーク ユーザを設定する手順は、次のとおりです。

ステップ 1 [Security] > [AAA] > [Local Net Users] の順に選択して、[Local Net Users] ページを開きます（図 5-15 を参照）。

図 5-15 [Local Net Users] ページ

このページでは、これまでに設定されたすべてのローカル ネットワーク ユーザが表示されます。すべてのゲスト ユーザと、ゲスト ユーザに割り当てられている QoS ロール（該当する場合）も指定されます。QoS ロールの設定の詳細は、「Quality of Service ロールの設定」を参照してください。

（注） 既存のユーザを削除するには、そのユーザの青いドロップダウンの矢印の上にカーソルを置いて、[Remove] を選択します。

ステップ 2 次のいずれかの操作を行います。

• 既存のローカル ネットワーク ユーザを編集するには、そのユーザのユーザ名をクリックします。[Local Net Users > Edit] ページが表示されます。

• ローカル ネットワーク ユーザを追加するには、[New] をクリックします。[Local Net Users > New] ページが表示されます（図 5-16 を参照）。

図 5-16 [Local Net Users > New] ページ

ステップ 3 新しいユーザを追加する場合は、[User Name] フィールドに、そのローカル ユーザのユーザ名を入力します。最大 24 文字の英数字を入力できます。

（注） ローカル ネットワーク ユーザ名は、すべて同じデータベース内に保存されるため、一意である必要があります。

ステップ 4 [Password] フィールドおよび [Confirm Password] フィールドに、ローカル ユーザのパスワードを入力します。最大 24 文字の英数字を入力できます。

ステップ 5 新しいユーザを追加する場合、そのユーザがローカル ネットワークにアクセスできる時間を制限するには、[Guest User] チェックボックスをオンにします。デフォルトの設定は、オフになっています。

ステップ 6 新しいユーザを追加し、[Guest User] チェックボックスをオンにした場合は、[Lifetime] フィールドに、ゲスト ユーザ アカウントをアクティブにする時間（秒単位）を入力します。有効な範囲は 60 ～ 2,592,000（30 日間）秒（両端の値を含む）で、デフォルトの設定は 86,400 秒です。

ステップ 7 [Guest User] チェックボックスをオンにして新しいユーザを追加するときに、このゲスト ユーザに QoS ロールを割り当てるには、[Guest User Role] チェックボックスをオンにします。デフォルトの設定は、オフになっています。

（注） ゲスト ユーザに QoS ロールを割り当てない場合、このユーザの帯域幅コントラクトは、WLAN の QoS プロファイルで定義されます。

ステップ 8 [Guest User Role] チェックボックスをオンにして新しいユーザを追加する場合は、このゲスト ユーザに割り当てる QoS ロールを [Role] ドロップダウン ボックスから選択します。

（注） 新しい QoS ロールを作成する手順については、「Quality of Service ロールの設定」を参照してください。

ステップ 9 [WLAN Profile] ドロップダウン ボックスから、ローカル ユーザによってアクセスされる WLAN の名前を選択します。デフォルトの設定である [Any WLAN] を選択すると、ユーザは設定済みのどの WLAN にもアクセスできるようになります。

ステップ 10 [Description] フィールドに、ローカル ユーザを説明するタイトル（「ユーザ」など）を入力します。

ステップ 11 [Apply] をクリックして、変更を適用します。

ステップ 12 [Save Configuration] をクリックして、変更を保存します。

CLI を使用したローカル ネットワーク ユーザの設定

コントローラ CLI を使用してローカル ネットワーク ユーザを設定するには、この項のコマンドを使用します。

（注） CLI コマンドで使用されるパラメータの有効範囲およびデフォルト値については、「GUI を使用したローカル ネットワーク ユーザの設定」を参照してください。

1. ローカル ネットワーク ユーザを設定するには、次のコマンドを使用します。

• config netuser add username password wlan wlan_id userType permanent description description ：コントローラ上のローカル ユーザ データベースに永久ユーザを追加します。

• config netuser add username password { wlan | guestlan} { wlan_id | guest_lan_id} userType guest lifetime seconds description description ：WLAN または有線ゲスト LAN 上のゲスト ユーザを、コントローラのローカル ユーザ データベースに追加します。

（注） 永久ユーザまたはゲスト ユーザをコントローラからローカル ユーザ データベースに追加する代わりに、RADIUS サーバ上にユーザに対するエントリを作成して Web 認証が実行される WLAN に対して RADIUS 認証を有効にするよう選択できます。

• config netuser delete username ：コントローラ上のローカル ユーザ データベースからユーザを削除します。

（注） ローカル ネットワーク ユーザ名は、すべて同じデータベース内に保存されるため、一意である必要があります。

2. 次のコマンドを使用して、コントローラで設定されたローカル ネットワーク ユーザに関連する情報を表示します。

• show netuser detail username ：ローカル ユーザ データベース内の特定のユーザの設定を表示します。

• show netuser summary ：ローカル ユーザ データベース内のすべてのユーザの一覧を表示します。

たとえば、 show netuser detail username コマンドに対しては、次のような情報が表示されます。

3. 変更を保存するには、次のコマンドを入力します。

GUI を使用した LDAP の設定

コントローラ GUI を使用して LDAP を設定する手順は、次のとおりです。

ステップ 1 [Security] > [AAA] > [LDAP] の順に選択して、[LDAP Servers] ページを開きます（図 5-17 を参照）。

図 5-17 [LDAP Servers] ページ

このページでは、これまでに設定されたすべての LDAP サーバが表示されます。

• 既存の LDAP サーバを削除するには、そのサーバの青いドロップダウンの矢印の上にカーソルを置いて、[Remove] を選択します。

• コントローラが特定のサーバに接続されるようにするには、そのサーバの青いドロップダウンの矢印の上にカーソルを置いて、[Ping] を選択します。

ステップ 2 次のいずれかの操作を行います。

• 既存の LDAP サーバを編集するには、そのサーバのインデックス番号をクリックします。[LDAP Servers > Edit] ページが表示されます。

• LDAP サーバを追加するには、[New] をクリックします。[LDAP Servers > New] ページが表示されます（図 5-18 を参照）。

図 5-18 [LDAP Servers >New] ページ

ステップ 3 新しいサーバを追加する場合は、[Server Index (Priority)] ドロップダウン ボックスから数字を選択し、その他の設定済みの LDAP サーバに対するこのサーバの優先順位を指定します。最大 17 台のサーバを設定できます。コントローラが最初のサーバに接続できない場合、リスト内の 2 番目のサーバへの接続を試行する、というようになります。

ステップ 4 新しいサーバを追加する場合は、[Server IP Address] フィールドに、LDAP サーバの IP アドレスを入力します。

ステップ 5 新しいサーバを追加する場合は、[Port Number] フィールドに、LDAP サーバの TCP ポート番号を入力します。有効な範囲は 1 ～ 65535 で、デフォルト値は 389 です。

ステップ 6 [Enable Server Status] チェックボックスをオンにしてこの LDAP サーバを有効にします。無効にする場合は、オフにします。デフォルト値は無効（disable）です。

ステップ 7 [Simple Bind] ドロップダウン ボックスから、[Anonymous] または [Authenticated] を選択して、LDAP サーバ用のローカル認証バインド方式を指定します。[Anonymous] 方式では、LDAP サーバへの匿名アクセスが可能です。しかし、[Authenticated] 方式では、ユーザ名とパスワードを入力してアクセスをセキュリティで保護する必要があります。デフォルトでは [Anonymous] になっています。

ステップ 8 ステップ 7 で [Authenticated] を選択した場合は、次の手順に従ってください。

a. [Bind Username] フィールドに、LDAP サーバに対するローカル認証に使用されるユーザ名を入力します。ユーザ名には、最大 80 文字を使用できます。

（注） ユーザ名が「cn=」（小文字）で始まる場合、コントローラは、完全な LDAP データベース パスがユーザ名に含まれているとみなし、ユーザベースの DN を付加しません。この指定により、認証済みのバインド ユーザをユーザ ベース DN の外に置くことができます。

b. [Bind Password] フィールドおよび [Confirm Bind Password] フィールドには、LDAP サーバに対するローカル認証で使用されるパスワードを入力します。パスワードには、最大 32 文字を使用できます。

ステップ 9 [User Base DN] フィールドに、すべてのユーザの一覧を含む LDAP サーバ内のサブツリーの Distinguished Name（DN; 識別名）を入力します。たとえば、ou=organizational unit、.ou=next organizational unit、o=corporation.com のようになります。ユーザを含むツリーがベース DN である場合、 o= corporation .com または dc= corporation ,dc=com と入力します。

ステップ 10 [User Attribute] フィールドに、ユーザ名を含むユーザ レコード内の属性の名前を入力します。この属性はディレクトリ サーバから取得できます。

ステップ 11 [User Object Type] フィールドに、レコードをユーザとして識別する LDAP objectType 属性の値を入力します。多くの場合、ユーザ レコードには複数の objectType 属性の値が含まれています。そのユーザに一意の値と、他のオブジェクト タイプと共有する値があります。

ステップ 12 [Server Timeout] フィールドに、再送信の間隔（秒数）入力します。有効な範囲は 2 ～ 30 秒で、デフォルト値は 2 秒です。

ステップ 13 [Apply] をクリックして、変更を適用します。

ステップ 14 [Save Configuration] をクリックして、変更を保存します。

ステップ 15 LDAP をローカル EAP 認証のための優先バックエンド データベース サーバとして指定する手順は、次のとおりです。

a. [Security] > [Local EAP] > [Authentication Priority] の順に選択して、[Priority Order > Local-Auth] ページを開きます（図 5-19 を参照）。

図 5-19 [Priority Order > Local-Auth] ページ

b. [LOCAL] を強調表示して、[<] をクリックし、それを左の [User Credentials] ボックスに移動します。

c. [LDAP] を強調表示して、[>] をクリックし、それを右の [User Credentials] ボックスに移動します。右側の [User Credentials] ボックスの上部に表示されるデータベースは、ユーザの資格情報を取得する際に使用されます。

（注） [LDAP] と [LOCAL] の両方が右側の [User Credentials] ボックスに表示され、[LDAP] が上部で [LOCAL] が下部にある場合、ローカル EAP は LDAP バックエンド データベースを使用してクライアントの認証を試行し、LDAP サーバが接続不能である場合は、ローカル ユーザ データベースにフェールオーバーします。ユーザが見つからない場合、認証の試行は拒否されます。[LOCAL] が上部にある場合、ローカル EAP はローカル ユーザ データベースのみを使用して認証を試行します。LDAP バックエンド データベースへのフェールオーバーは行われません。

d. [Apply] をクリックして、変更を適用します。

e. [Save Configuration] をクリックして、変更を保存します。

ステップ 16 （オプション）特定の LDAP サーバを WLAN に割り当てる手順は、次のとおりです。

a. [WLANs] を選択して、[WLANs] ページを開きます。

b. 必要な WLAN の ID 番号をクリックします。

c. [WLANs > Edit] ページが表示されたら、[Security] > [AAA Servers] タブを選択し、[WLANs > Edit]（[Security] > [AAA Servers]）ページを開きます（図 5-20 を参照）。

図 5-20 [WLANs > Edit]（[Security] > [AAA Servers]）ページ

d. [LDAP Servers] ドロップダウン ボックスから、この WLAN に使用する LDAP サーバを選択します。最大 3 台の LDAP サーバを選択できます。これらのサーバは優先順位に従って試行されます。

（注） これらの LDAP サーバは、Web 認証が有効になっている WLAN にのみ適用されます。ローカル EAP によって使用されません。

e. [Apply] をクリックして、変更を適用します。

f. [Save Configuration] をクリックして、変更を保存します。

CLI を使用した LDAP の設定

コントローラ CLI を使用して LDAP を設定するには、この項のコマンドを使用します。

（注） CLI コマンドで使用されるパラメータの有効範囲およびデフォルト値については、「GUI を使用した LDAP の設定」を参照してください。

1. LDAP サーバを設定するには、次のコマンドを使用します。

• config ldap add index server_ip_address port# user_base user_attr user_type ：
LDAP サーバを追加します。

• config ldap delete index ：以前に追加された LDAP サーバを削除します。

• config ldap { enable | disable } index ：LDAP サーバを有効または無効にします。

• config ldap simple-bind { anonymous index | authenticated index username username password password }：LDAP サーバ用のローカル認証バインド方式を指定します。匿名方式では LDAP サーバへの匿名アクセスが可能です。一方、認可方式ではユーザ名とパスワードを入力してアクセスをセキュリティで保護する必要があります。デフォルトでは匿名になっています。

（注） ユーザ名には、最大 80 文字を使用できます。

（注） ユーザ名が「cn=」（小文字）で始まる場合、コントローラは、完全な LDAP データベース パスがユーザ名に含まれているとみなし、ユーザベースの DN を付加しません。この指定により、認証済みのバインド ユーザをユーザ ベース DN の外に置くことができます。

• config ldap retransmit-timeout index timeout ：LDAP サーバの再送信の間隔（秒数）を設定します。

2. 次のコマンドを使用すると、LDAP を優先バックエンド データベースとして指定できます。

config local-auth user-credentials ldap

（注） config local-auth user-credentials ldap local と入力すると、ローカル EAP は LDAP バックエンド データベースを使用してクライアントの認証を試行し、LDAP サーバが接続不能である場合は、ローカル ユーザ データベースにフェールオーバーします。ユーザが見つからない場合、認証の試行は拒否されます。config local-auth user-credentials local ldap と入力すると、ローカル EAP はローカル ユーザ データベースのみを使用して認証を試行します。LDAP バックエンド データベースへのフェールオーバーは行われません。

3. （オプション）特定の LDAP サーバを WLAN に割り当てるには、次のコマンドを使用します。

• config wlan ldap add wlan_id server_index ：設定済みの LDAP サーバを WLAN に接続します。

（注） このコマンドで指定される LDAP サーバは、Web 認証が有効になっている WLAN にのみ適用されます。ローカル EAP によって使用されません。

• config wlan ldap delete wlan_id {all | index } ：特定の、またはすべての設定済み LDAP サーバを WLAN から削除します。

4. 設定済みの LDAP サーバに関連する情報を表示するには、次のコマンドを使用します。

• show ldap summary：設定済みの LDAP サーバの概要を表示します。

• show ldap index：詳細な LDAP サーバ情報を表示します。

• show ldap statistics：LDAP サーバの統計情報を表示します。

• show wlan wlan_id ：WLAN に適用される LDAP サーバを表示します。

たとえば、 show ldap index コマンドに対しては、次のような情報が表示されます。

show ldap summary コマンドに対しては、次のような情報が表示されます。

show ldap statistics コマンドに対しては、次のような情報が表示されます。

5. コントローラが確実に LDAP サーバに接続できるようにするには、次のコマンドを入力します。

ping server_ip_address

6. 変更を保存するには、次のコマンドを入力します。

save config

7. LDAP のデバッグを有効または無効にするには、次のコマンドを入力します。

debug aaa ldap { enable | disable}

GUI を使用したローカル EAP の設定

コントローラの GUI を使用してローカル EAP を設定する手順は、次のとおりです。

ステップ 1 EAP-TLS、PEAPv0/MSCHAPv2、および PEAPv1/GTC は、認証に証明書を使用し、EAP-FAST は、証明書または PAC のいずれかを使用します。コントローラには、シスコによりインストールされたデバイスの証明書と、Certificate Authority（CA; 認証局）の証明書が同梱されています。ただし、お手持ちのベンダー固有の証明書を使用する場合は、それらの証明書をコントローラにインポートする必要があります。ローカル EAP でこれらのいずれかのタイプの EAP を使用するよう設定する場合は、適切な証明書と PAC（手動の PAC プロビジョニングを使用する場合）がコントローラにインポートされていることを確認してください。証明書と PAC のインポートの手順については、 を参照してください。

ステップ 2 コントローラでローカル ユーザ データベースからユーザの資格情報を取得するようにする場合は、そのコントローラ上でローカル ネットワーク ユーザを適切に設定していることを確認してください。手順については、「ローカル ネットワーク ユーザの設定」を参照してください。

ステップ 3 コントローラで LDAP バックエンド データベースからユーザの資格情報を取得するようにする場合は、そのコントローラ上で LDAP サーバを適切に設定していることを確認してください。手順については、「LDAP の設定」を参照してください。

ステップ 4 バックエンド データベース サーバからユーザの資格情報の取得順序を指定する手順は、次のとおりです。

a. [Security] > [Local EAP] > [Authentication Priority] の順に選択して、[Priority Order > Local-Auth] ページを開きます（図 5-22 を参照）。

図 5-22 [Priority Order > Local-Auth] ページ

b. ユーザの資格情報がローカルまたは LDAP データベースから取得される優先順位を決定します。たとえば、LDAP データベースがローカル ユーザ データベースよりも優先されるようにすることも、または LDAP データベースがまったく考慮されないようにすることもできます。

c. 優先順位を決定したら、目的のデータベースを強調表示します。次に、左と右の矢印および [Up] ボタンと [Down] ボタンを使用して、目的のデータベースを右側の [User Credentials] ボックスの上部に移動します。

（注） [LDAP] と [LOCAL] の両方が右側の [User Credentials] ボックスに表示され、[LDAP] が上部で [LOCAL] が下部にある場合、ローカル EAP は LDAP バックエンド データベースを使用してクライアントの認証を試行し、LDAP サーバが接続不能である場合は、ローカル ユーザ データベースにフェールオーバーします。ユーザが見つからない場合、認証の試行は拒否されます。[LOCAL] が上部にある場合、ローカル EAP はローカル ユーザ データベースのみを使用して認証を試行します。LDAP バックエンド データベースへのフェールオーバーは行われません。

d. [Apply] をクリックして、変更を適用します。

ステップ 5 ローカル EAP タイマーに値を指定する手順は、次のとおりです。

a. [Security] > [Local EAP] > [General] の順に選択して、[General] ページを開きます（図 5-23 を参照）。

図 5-23 [General] ページ

b. [Local Auth Active Timeout] フィールドに、設定済みの RADIUS サーバのペアによる認証が失敗したあとに、コントローラがローカル EAP を使用して無線クライアントを認証する際の試行時間（秒単位）を入力します。有効な範囲は 1 ～ 3600 秒で、デフォルトの設定は 100 秒です。

c. [Identity Request Timeout] フィールドに、コントローラがローカル EAP を使用して無線クライアントに EAP ID 要求を送信する際の試行時間（秒単位）を入力します。有効な範囲は 1 ～ 120 秒で、デフォルトの設定は 30 秒です。

d. [Identity Request Max Retries] フィールドに、コントローラがローカル EAP を使用して無線クライアントに EAP ID 要求を再送信する際の最大試行回数を入力します。有効な値の範囲は 1 ～ 20 回で、デフォルトの設定は 20 回です。

e. [Dynamic WEP Key Index] フィールドに、動的 Wired Equivalent Privacy（WEP）に使用するキー インデックスを入力します。デフォルトの設定は 0 です。

f. [Request Timeout] フィールドに、コントローラがローカル EAP を使用して無線クライアントに EAP 要求を送信する際の試行時間（秒単位）を入力します。有効な範囲は 1 ～ 120 秒で、デフォルトの設定は 30 秒です。

g. [Request Max Retries] フィールドに、コントローラがローカル EAP を使用して無線クライアントに EAP 要求を再送信する際の最大試行回数を入力します。有効な値の範囲は 1 ～ 120 回で、デフォルトの設定は 20 回です。

h. [Max-Login Ignore Identity Response] ドロップダウンボックスから、[Enable] を選択し、同じユーザ名を使用してコントローラに接続できるデバイスの数を制限できます。同じコントローラ上の異なるデバイス（PDA、ノートパソコン、IP 電話など）から最大 8 回ログインできます。デフォルト値は有効（enable）です。

i. [EAPOL-Key Timeout] フィールドで、コントローラがローカル EAP を使用して無線クライアントに LAN 経由で EAP キーを送信する際の試行時間（秒単位）を入力します。有効な値の範囲は 1 ～ 5 秒で、デフォルトの設定は 1 秒です。

j. [EAPOL-Key Max Retries] フィールドで、コントローラがローカル EAP を使用して無線クライアントに LAN 経由で EAP キーを送信する際の最大試行回数を指定します。有効な値の範囲は 0 ～ 4 回で、デフォルトの設定は 2 回です。

k. [Apply] をクリックして、変更を適用します。

ステップ 6 無線クライアントでサポートされる EAP 認証タイプを指定する、ローカル EAP プロファイルを作成する手順は、次のとおりです。

a. [Security] > [Local EAP] > [Profiles] の順に選択して、[Local EAP Profiles] ページを開きます（図 5-24を参照）。

図 5-24 [Local EAP Profiles] ページ

このページでは、これまでに設定されたすべてのローカル EAP プロファイルが表示され、その EAP タイプを指定します。最大 16 個のローカル EAP プロファイルを作成できます。

（注） 既存のプロファイルを削除するには、そのプロファイルの青いドロップダウンの矢印の上にカーソルを置いて、[Remove] を選択します。

b. [New] をクリックして、[Local EAP Profiles > New] ページを開きます。

c. [Profile Name] フィールドに、新しいプロファイルの名前を入力し、[Apply] をクリックします。

（注） プロファイル名には最大 63 文字の英数字を入力できます。スペースは含めないでください。

d. [Local EAP Profiles] ページが再度表示されたら、新しいプロファイルの名前をクリックします。[Local EAP Profiles > Edit] ページが表示されます（図 5-25 を参照）。

図 5-25 [Local EAP Profiles > Edit] ページ

e. [LEAP] チェックボックス、[EAP-FAST] チェックボックス、[EAP-TLS] チェックボックス 、 および/または [PEAP] チェックボックスをオンにし、ローカル認証に使用できる EAP タイプを指定します。

（注） プロファイルごとに複数の EAP タイプを指定できます。ただし、証明書を使用する複数の EAP タイプ（証明書を使用する EAP-FAST、EAP-TLS、PEAPv0/MSCHAPv2、PEAPv1/GTC など）を選択する場合、すべての EAP タイプで同じ証明書（Cisco または他のベンダーが発行する）を使用する必要があります。

（注） [PEAP] チェックボックスをオンにすると、コントローラ上で PEAPv0/MSCHAPv2 と PEAPv1/GTC の両方が有効になります。

f. EAP-FAST を選択し、コントローラ上のデバイスの証明書を認証に使用する場合は、[Local Certificate Required] チェックボックスをオンにします。証明書の代わりに PAC を使用する EAP-FAST を使用する場合は、このチェックボックスをオフのままにします。これがデフォルトの設定です。

（注） デバイス証明書は LEAP と共に使用されず、EAP-TLS と PEAP には必須であるため、このオプションは EAP-FAST にのみ適用されます。

g. EAP-FAST を選択し、無線クライアントがデバイスの証明書を認証のためにコントローラに送信するようにするには、[Client Certificate Required] チェックボックスをオンにします。証明書の代わりに PAC を使用する EAP-FAST を使用する場合は、このチェックボックスをオフのままにします。これがデフォルトの設定です。

（注） クライアント証明書は LEAP または PEAP と共に使用されず、EAP-TLS には必須であるため、このオプションは EAP-FAST にのみ適用されます。

h. 証明書を使用する EAP-FAST、EAP-TLS、または PEAP を選択する場合は、シスコが発行する証明書と別のベンダーが発行する証明書のどちらがクライアントに送信されるようにするかを選択します。[Cisco] または [Vendor] を [Certificate Issuer] ドロップダウン ボックスから選択してください。デフォルトの設定は、[Cisco] になっています。

i. 証明書を使用する EAP-FAST または EAP-TLS を選択し、クライアントから受信する証明書をコントローラ上の CA 証明書と照合して検証する場合は、[Check Against CA Certificates] チェックボックスをオンにします。デフォルトの設定は、有効になっています。

j. 証明書を使用する EAP-FAST または EAP-TLS を選択し、受信する証明書内の Common Name（CN; 通常名）をコントローラ上の CA 証明書の CN と照合して検証する場合は、[Verify Certificate CN Identity チェックボックスをオンにします。デフォルトの設定は、無効になっています。

k. 証明書を使用する EAP-FAST または EAP-TLS を選択し、受信するデバイス証明書が現在有効で期限が切れていないことがコントローラで検証されるようにする場合は、[Check Certificate Date Validity] チェックボックスをオンにします。デフォルトの設定は、有効になっています。

l. [Apply] をクリックして、変更を適用します。

ステップ 7 EAP-FAST プロファイルを作成した場合、EAP-FAST パラメータを設定する手順は、次のとおりです。

a. [Security] > [Local EAP] > [EAP-FAST Parameters] の順に選択して、[EAP-FAST Method Parameters] ページを開きます（図 5-26 を参照）。

図 5-26 [EAP-FAST Method Parameters] ページ

b. [Server Key] フィールドおよび [Confirm Server Key] フィールドに、PAC の暗号化と暗号化解除に使用するキー（16 進数文字）を入力します。

c. [Time to Live for the PAC] フィールドに、PAC の有効日数を入力します。有効な範囲は 1 ～ 1000 日で、デフォルトの設定は 10 日です。

d. [Authority ID] フィールドに、ローカル EAP-FAST サーバの権限識別子を 16 進数文字で入力します。最大 32 文字の 16 進数文字を入力できますが、文字数は偶数である必要があります。

e. [Authority ID Information] フィールドに、ローカル EAP-FAST サーバの権限識別子をテキスト形式で入力します。

f. 匿名プロビジョニングを有効にするには、[Anonymous Provision] チェックボックスをオンにします。この機能を使用すると、PAC プロビジョニング中に、PAC がないクライアントに PAC が自動的に送信されるようになります。この機能を無効にする場合、PAC は手動でプロビジョニングされる必要があります。デフォルトの設定は、有効になっています。

（注） ローカル証明書またはクライアント証明書、あるいはその両方が必要で、すべての EAP-FAST クライアントで証明書を使用するよう強制する場合は、[Anonymous Provision] チェックボックスをオフにしてください。

g. [Apply] をクリックして、変更を適用します。

ステップ 8 WLAN 上でローカル EAP を有効にする手順は、次のとおりです。

a. [WLANs] を選択して、[WLANs] ページを開きます。

b. 必要な WLAN の ID 番号をクリックします。

c. [WLANs > Edit] ページが表示されたら、[Security] > [AAA Servers] タブを選択し、[WLANs > Edit]（[Security] > [AAA Servers]）ページを開きます（図 5-27 を参照）。

図 5-27 [WLANs > Edit]（[Security] > [AAA Servers]）ページ

d. [Local EAP Authentication] チェックボックスをオンにして、この WLAN に対してローカル EAP を有効にします。

e. [EAP Profile Name] ドロップダウン ボックスから、この WLAN に使用する EAP プロファイルを選択します。

f. 必要に応じて、[LDAP Servers] ドロップダウン ボックスから、この WLAN でローカル EAP と共に使用する LDAP サーバを選択します。

g. [Apply] をクリックして、変更を適用します。

ステップ 9 [Save Configuration] をクリックして、変更を保存します。

CLI を使用したローカル EAP の設定

コントローラ CLI を使用してローカル EAP を設定する手順は、次のとおりです。

（注） CLI コマンドで使用されるパラメータの有効範囲およびデフォルト値については、「GUI を使用したローカル EAP の設定」を参照してください。

ステップ 1 EAP-TLS、PEAPv0/MSCHAPv2、および PEAPv1/GTC は、認証に証明書を使用し、EAP-FAST は、証明書または PAC のいずれかを使用します。コントローラには、シスコによりインストールされたデバイスの証明書と、Certificate Authority（CA; 認証局）の証明書が付属しています。ただし、ご自身のベンダー固有の証明書を使用する場合は、それらの証明書をコントローラにインポートする必要があります。ローカル EAP でこれらのいずれかのタイプの EAP を使用するよう設定する場合は、適切な証明書と PAC（手動の PAC プロビジョニングを使用する場合）がコントローラにインポートされていることを確認してください。証明書と PAC のインポートの手順については、 を参照してください。

ステップ 2 コントローラでローカル ユーザ データベースからユーザの資格情報を取得するようにする場合は、そのコントローラ上でローカル ネットワーク ユーザを適切に設定していることを確認してください。手順については、「ローカル ネットワーク ユーザの設定」を参照してください。

ステップ 3 コントローラで LDAP バックエンド データベースからユーザの資格情報を取得するようにする場合は、そのコントローラ上で LDAP サーバを適切に設定していることを確認してください。手順については、「LDAP の設定」を参照してください。

ステップ 4 ユーザの資格情報がローカルまたは LDAP データベースから取得される優先順位を指定するには、次のコマンドを入力します。

config local-auth user-credentials { local | ldap }

（注） config local-auth user-credentials ldap local と入力すると、ローカル EAP は LDAP バックエンド データベースを使用してクライアントの認証を試行し、LDAP サーバが接続不能である場合は、ローカル ユーザ データベースにフェールオーバーします。ユーザが見つからない場合、認証の試行は拒否されます。config local-auth user-credentials local ldap と入力すると、ローカル EAP はローカル ユーザ データベースのみを使用して認証を試行します。LDAP バックエンド データベースへのフェールオーバーは行われません。

ステップ 5 ローカル EAP タイマーに値を指定するには、次のコマンドを入力します。

• config local-auth active-timeout timeout ：設定済みの RADIUS サーバのペアによる認証が失敗したあとに、コントローラがローカル EAP を使用して無線クライアントを認証する際の試行時間（秒単位）を指定します。有効な範囲は 1 ～ 3600 秒で、デフォルトの設定は 100 秒です。

• config advanced eap identity-request-timeout timeout ：コントローラがローカル EAP を使用して無線クライアントに EAP ID 要求を送信する際の試行時間（秒単位）を指定します。有効な範囲は 1 ～ 120 秒で、デフォルトの設定は 30 秒です。

• config advanced eap identity-request-retries retries ：コントローラがローカル EAP を使用して無線クライアントに EAP ID 要求を再送信する際の最大試行回数を指定します。有効な値の範囲は 1 ～ 20 回で、デフォルトの設定は 20 回です。

• config advanced eap key-index index ：動的 Wired Equivalent Privacy（WEP）に使用するキー インデックスを指定します。デフォルトの設定は 0 です。

• config advanced eap request-timeout timeout ：コントローラがローカル EAP を使用して無線クライアントに EAP 要求を送信する際の試行時間（秒単位）を指定します。有効な範囲は 1 ～ 120 秒で、デフォルトの設定は 30 秒です。

• config advanced eap request-retries retries ：コントローラがローカル EAP を使用して無線クライアントに EAP 要求を再送信する際の最大試行回数を指定します。有効な値の範囲は 1 ～ 120 回で、デフォルトの設定は 20 回です。

• config advanced eap eapol-key-timeout timeout ：コントローラがローカル EAP を使用して無線クライアントに LAN 経由で EAP キーを送信する際の試行時間（秒単位）を指定します。有効な値の範囲は 1 ～ 5 秒で、デフォルトの設定は 1 秒です。

• config advanced eap eapol-key-retries retries ：コントローラがローカル EAP を使用して無線クライアントに LAN 経由で EAP キーを送信する際の最大試行回数を指定します。有効な値の範囲は 0 ～ 4 回で、デフォルトの設定は 2 回です。

• config advanced eap max-login-ignore-identity-response { enable | disable } ：このコマンドを有効にすると、同じユーザ名を使用してコントローラに接続できるデバイスの数を制限できます。同じコントローラ上の異なるデバイス（PDA、ノートパソコン、IP 電話など）から最大 8 回ログインできます。デフォルト値は有効（enable）です。

ステップ 6 ローカル EAP プロファイルを作成するには、次のコマンドを入力します。

config local-auth eap-profile add profile_name

（注） プロファイル名にスペースを含めないでください。

（注） ローカル EAP プロファイルを削除するには、config local-auth eap-profile delete profile_name コマンドを入力します。

ステップ 7 ローカル EAP プロファイルに EAP 方式を追加するには、次のコマンドを入力します。

config local-auth eap-profile method add method profile_name

サポートされる方式は、leap、fast、tls、および peap です。

（注） peap を選択する場合、コントローラ上で PEAPv0/MSCHAPv2 と PEAPv1/GTC の両方が有効になります。

（注） プロファイルごとに複数の EAP タイプを指定できます。ただし、証明書を使用する複数の EAP タイプ（証明書を使用する EAP-FAST、EAP-TLS、PEAPv0/MSCHAPv2、および PEAPv1/GTC など）でプロファイルを作成する場合、すべての EAP タイプで同じ証明書（Cisco または他のベンダーが発行する）を使用する必要があります。

（注） ローカル EAP プロファイルから EAP 方式を削除するには、config local-auth eap-profile method delete method profile_name コマンドを入力します。

ステップ 8 EAP-FAST プロファイルを作成した場合に、EAP-FAST パラメータを設定するには、次のコマンドを入力します。

config local-auth method fast ?

ここで、 ? は、次のいずれかを示します。

• anon-prov { enable | disable }：コントローラで匿名プロビジョニングが許可されるように設定します。これにより、PAC プロビジョニング中に、PAC がないクライアントに PAC が自動的に送信されるようになります。

• authority-id auth_id ：ローカル EAP-FAST サーバの権限識別子を指定します。

• pac-ttl days ：PAC の有効日数を指定します。

• server-key key ：PAC を暗号化および暗号化解除するために使用されるサーバ キーを指定します。

ステップ 9 プロファイルごとに証明書パラメータを設定するには、次のコマンドを入力します。

• config local-auth eap-profile method fast local-cert { enable | disable } profile_name ：
コントローラ上のデバイスの証明書が認証に必要とされるかどうかを指定します。

（注） デバイス証明書は LEAP と共に使用されず、EAP-TLS と PEAP には必須であるため、このコマンドは EAP-FAST にのみ適用されます。

• config local-auth eap-profile method fast client-cert { enable | disable } profile_name ：
無線クライアントから認証のためのデバイスの証明書をコントローラに送信する必要があるかどうかを指定します。

（注） クライアント証明書は LEAP または PEAP と共に使用されず、EAP-TLS には必須であるため、このコマンドは EAP-FAST にのみ適用されます。

• config local-auth eap-profile cert-issuer {cisco | vendor} profile_name ：証明書を使用する EAP-FAST、EAP-TLS、または PEAP を指定した場合は、クライアントに送信される証明書がシスコから発行されるものか、別のベンダーから発行されるものかを指定します。

• config local-auth eap-profile cert-verify ca-issuer { enable | disable } profile_name ：証明書を使用する EAP-FAST または EAP-TLS を選択する場合は、クライアントから受信する証明書をコントローラ上の CA 証明書と照合して検証するかどうかを指定します。

• config local-auth eap-profile cert-verify cn-verify { enable | disable } profile_name ：証明書を使用する EAP-FAST または EAP-TLS を選択する場合は、受信する証明書内の通常名（CN）をコントローラ上の CA 証明書の CN と照合して検証するかどうかを指定します。

• config local-auth eap-profile cert-verify date-valid { enable | disable } profile_name ：証明書を使用する EAP-FAST または EAP-TLS を選択する場合は、受信するデバイスの証明書が現在も有効であり期限が切れていないことがコントローラで検証されるようにするかどうかを指定します。

ステップ 10 ローカル EAP を有効にし、EAP プロファイルを WLAN に接続するには、次のコマンドを入力します。

config wlan local-auth enable profile_name wlan_id

（注） WLAN でローカル EAP を無効にするには、config wlan local-auth disable wlan_id コマンドを入力します。

ステップ 11 変更を保存するには、次のコマンドを入力します。

save config

ステップ 12 ローカル EAP に関連する情報を表示するには、次のコマンドを使用します。

• show local-auth config： コントローラ上のローカル EAP の設定を表示します。

show local-auth config コマンドに対しては、次のような情報が表示されます。

• show local-auth statistics ：ローカル EAP の統計情報を表示します。

• show local-auth certificates ：ローカル EAP で使用可能な証明書を表示します。

• show local-auth user-credentials ：コントローラがローカル データベースまたは LDAP データベースからユーザの資格情報を取得する際の優先順位を表示します。

• show advanced eap ：ローカル EAP のタイマーの値を表示します。次のような情報が表示されます。

• show ap stats wlan Cisco_AP ：各 WLAN の特定のアクセス ポイントにおける EAP タイムアウト回数および失敗回数を表示します。次のような情報が表示されます。

• show client detail client_mac ：アソシエートされた特定のクライアントについて、EAP タイムアウト回数および失敗回数を表示します。これらの統計は、クライアント アソシエーションの問題のトラブルシューティングを行う際に有用です。次のような情報が表示されます。

• show wlan wlan_id ：特定の WLAN のローカル EAP のステータスを表示します。

ステップ 13 必要に応じて、次のコマンドを使用してローカル EAP セッションのトラブルシューティングを行います。

• debug aaa local-auth eap method {all | errors | events | packets | sm} {enable | disable}：
ローカル EAP 方式のデバッグを有効または無効にします。

• debug aaa local-auth eap framework {all | errors | events | packets | sm} {enable | disable}：
ローカル EAP フレームワークのデバッグを有効または無効にします。

（注） 上記の 2 つのコマンドでは、sm とはステート マシンを指します。

• clear stats local-auth ：ローカル EAP のカウンタをクリアします。

• clear stats ap wlan Cisco_AP ：各 WLAN の特定のアクセスポイントにおける EAP タイムアウト回数および失敗回数をクリアします。

GUI を使用した 長いプリアンブルの有効化

GUI を使用して長いプリアンブルを有効化し、無線 LAN 上にある SpectraLink 社の NetLink 電話の動作を最適化する手順は次のとおりです。

ステップ 1 [Wireless] > [802.11b/g/n] > [Network] の順に選択して、[802.11b/g Global Parameters] ページを開きます。

ステップ 2 [Short Preamble] チェックボックスがオンの場合は、これ以降の手順に進みます。[Short Preamble] チェックボックスがオフの場合（つまり長いプリアンブルが有効な場合）、コントローラはすでに SpectraLink 社の NetLink 電話用に最適化されているため、これ以降の手順を実行する必要はありません。

ステップ 3 [Short Preamble] チェックボックスをオフにして、長いプリアンブルを有効にします。

ステップ 4 [Apply] をクリックして、コントローラの設定を更新します。

（注） コントローラへの CLI セッションがアクティブでない場合は、CLI セッションを開始してコントローラをリブートし、リブート プロセスを監視することをお勧めします。コントローラがリブートすると GUI が切断されるため、その意味でも CLI セッションは役に立ちます。

ステップ 5 [Commands] > [Reboot] > [Reboot] > [Save and Reboot] の順に選択して、コントローラをリブートします。 次のプロンプトに対し [OK] をクリックします。

コントローラがリブートします。

ステップ 6 コントローラの GUI にもう一度ログインし、コントローラが正しく設定されていることを確認します。

ステップ 7 [Wireless] > [802.11b/g/n] > [Network] の順に選択して、[802.11b/g Global Parameters] ページを開きます。[Short Preamble] チェックボックスがオフの場合、コントローラは SpectraLink 社の NetLink 電話用に最適化されています。

CLI を使用した 長いプリアンブルの有効化

CLI を使用して長いプリアンブルを有効化し、無線 LAN 上にある SpectraLink 社の NetLink 電話の動作を最適化する手順は次のとおりです。

ステップ 1 コントローラの CLI にログインします。

ステップ 2 show 802.11b と入力して Short preamble mandatory パラメータをチェックします。短いプリアンブルが有効になっている場合は、以降の手順に進みます。短いプリアンブルが有効な場合、次のように表示されます。

短いプリアンブルが無効になっている場合（つまり長いプリアンブルが有効な場合）、コントローラはすでに SpectraLink 社の NetLink 電話に対して最適化されているため、以降の手順を実行する必要はありません。長いプリアンブルが有効な場合、次のように表示されます。

ステップ 3 config 802.11b disable network と入力して 802.11b/g ネットワークを無効にします （802.11a ネットワーク上では、長いプリアンブルを有効化できません）。

ステップ 4 config 802.11b preamble long と入力して長いプリアンブルを有効にします。

ステップ 5 config 802.11b enable network と入力して 802.11b/g ネットワークを再度有効にします。

ステップ 6 reset system と入力して、コントローラをリブートします。次のプロンプトに対して y と入力します。

コントローラがリブートします。

ステップ 7 もう一度 CLI にログインし、show 802.11b と入力して次のパラメータを表示し、コントローラが正しく設定されていることを確認します。

上記のパラメータは、802.11b/g ネットワークが有効になっていて、短いプリアンブルが無効になっていることを示しています。

CLI を使用した Enhanced Distributed Channel Access の設定

次の CLI コマンドを使用すると、802.11 Enhanced Distributed Channel Access（EDCA; 拡張型分散チャネル アクセス）パラメータを設定して SpectraLink の電話をサポートできます。

config advanced edca-parameters { svp-voice | wmm-default }

svp-voice は SpectraLink Voice Priority（SVP）パラメータを有効にし、 wmm-default は Wireless Multimedia（WMM）デフォルト パラメータを有効にします。

（注） このコマンドをコントローラに接続されたすべてのアクセス ポイントに適用するには、このコマンドを入力した後、802.11b/g ネットワークを無効にし、その後再び有効にしてください。

GUI を使用した無線による管理の有効化

ステップ 1 [Management] > [Mgmt Via Wireless] の順に選択して、[Management Via Wireless] ページを開きます。

ステップ 2 [Enable Controller Management to be accessible from Wireless Clients] チェックボックスをオンにして無線による WLAN の管理を有効にするか、オフにしてこの機能を無効にします。デフォルトではオフになっています。

ステップ 3 [Apply] をクリックして、変更を適用します。

ステップ 4 [Save Configuration] をクリックして、変更を保存します。

ステップ 5 無線クライアント Web ブラウザを使用して、コントローラ管理ポートまたはディストリビューション システム ポート IP アドレスに接続し、コントローラ GUI にログインして、無線クライアントを使用して WLAN を管理できていることを確認します。

CLI を使用した無線による管理の有効化

ステップ 1 CLI で、 show network コマンドを使用して、 management over wireless interface が enabled に設定されているか disabled に設定されているかを確認します。 management over wireless interface が disabled の場合は、ステップ 2 に進みます。それ以外の場合は、ステップ 3 に進みます。

ステップ 2 無線による管理を有効にするには、config network mgmt-via-wireless enable と入力します。

ステップ 3 無線クライアントを使用して、管理対象のコントローラに接続されているアクセス ポイントにアソシエートします。

ステップ 4 telnet controller-ip-address と入力して CLI にログインし、無線クライアントを使用して WLAN を管理できることを確認します。

GUI を使用した DHCP オプション 82 の設定

GUI を使用して DHCP オプション 82 をコントローラで設定する手順は、次のとおりです。

ステップ 1 [Controller] > [Advanced] > [DHCP] の順に選択して、[DHCP Parameters] ページを開きます（図 5-29 を参照）。

図 5-29 [DHCP Parameters] ページ

ステップ 2 [DHCP Option 82 Remote ID Field Format] ドロップダウン ボックスから次のオプションのいずれかを選択して、DHCP オプション 82 ペイロードの形式を指定します。

• [AP-MAC] ： DHCP オプション 82 ペイロードにアクセス ポイントの MAC アドレスを追加します。これはデフォルト値です。

• [AP-MAC-SSID] ： DHCP オプション 82 ペイロードにアクセス ポイントの MAC アドレスと SSID を追加します。

ステップ 3 [Apply] をクリックして、変更を適用します。

ステップ 4 [Save Configuration] をクリックして、変更を保存します。

CLI を使用した DHCP オプション 82 の設定

次の CLI コマンドを使用して DHCP オプション 82 をコントローラに設定できます。

1. DHCP オプション 82 ペイロードの形式を設定するには、次のコマンドの 1 つを入力します。

– config dhcp opt-82 remote-id ap_mac

このコマンドは DHCP オプション 82 ペイロードにアクセス ポイントの MAC アドレスを追加します。

– config dhcp opt-82 remote-id ap_mac:ssid

このコマンドは DHCP オプション 82 ペイロードにアクセス ポイントの MAC アドレスと SSID を追加します。

2. グローバル DHCP オプション 82 の設定を無効にし、コントローラの AP マネージャまたは管理インターフェイスに対してこの機能を無効（または有効）にするには、次のコマンドを入力します。

config interface dhcp {ap-manager | management} option-82 {disable | en able}

3. コントローラで DHCP オプション 82 のステータスを表示するには、次のコマンドを入力します。

show interface detailed ap-manager

次のような情報が表示されます。

GUI を使用したアクセス コントロール リストの設定

コントローラ GUI を使用して ACL を設定する手順は、次のとおりです。

ステップ 1 [Security] > [Access Control Lists] > [Access Control Lists] の順に選択して、[Access Control Lists] ページを開きます（図 5-30 を参照）。

図 5-30 [Access Control Lists] ページ

このページでは、このコントローラに設定されたすべての ACL が表示されます。

（注） 既存の ACL を削除するには、その ACL の青いドロップダウンの矢印の上にカーソルを置いて、[Remove] を選択します。

ステップ 2 パケットがコントローラ上で設定されている ACL のいずれかに一致しているかどうかを確認する場合は、[Enable Counters] チェックボックスをオンにして、[Apply] をクリックします。それ以外の場合は、このチェックボックスをオフのままにします（デフォルト値）。この機能は、システムのトラブルシューティングを実行する際に役立ちます。

（注） ACL のカウンタをクリアするには、その ACL の青いドロップダウンの矢印の上にカーソルを置いて、[Clear Counters] を選択します。

（注） ACL カウンタは、5500 シリーズ、4400 シリーズ、Cisco WiSM、および Catalyst 3750G 統合型無線 LAN コントローラ スイッチの各コントローラでのみ使用できます。

ステップ 3 新しい ACL を追加するには、[New] をクリックします。[Access Control Lists > New] ページが表示されます（図 5-31 を参照）。

図 5-31 [Access Control Lists > New] ページ

ステップ 4 [Access Control List Name] フィールドに新しい ACL の名前を入力します。最大 32 文字の英数字を入力できます。

ステップ 5 [Apply] をクリックします。[Access Control Lists] ページが再度表示されたら、新しい ACL の名前をクリックします。

ステップ 6 [Access Control Lists > Edit] ページが表示されたら、[Add New Rule] をクリックします。[Access Control Lists > Rules > New] ページが表示されます（図 5-32 を参照）。

図 5-32 [Access Control Lists > Rules > New] ページ

ステップ 7 この ACL にルールを設定する手順は、次のとおりです。

a. コントローラは各 ACL について最大 64 のルールをサポートします。これらのルールは、1 から 64 の順にリストアップされます。[Sequence] フィールドで、値（1 ～ 64）を入力し、この ACL に定義されている他のルールに対してこのルールの順番を決定します。

（注） ルール 1 ～ 4 がすでに定義されている場合にルール 29 を追加すると、これはルール 5 として追加されます。ルールのシーケンス番号を追加したり、変更した場合には、順序を維持するために他のルールのシーケンス番号が調整されます。たとえば、ルールのシーケンス番号を 7 から 5 に変更した場合、シーケンス番号 5 および 6 のルールはそれぞれ、自動的に 6 および 7 へと番号が変更されます。

b. [Source] ドロップダウン ボックスから、次のオプションの 1 つを選択して、この ACL を適用するパケットの送信元を指定します。

• [Any]：任意の送信元（これは、デフォルト値です）。

• [IP Address]：特定の送信元。このオプションを選択した場合、編集ボックスに、送信元の IP アドレスとネットマスクを入力します。

c. [Destination] ドロップダウン ボックスから、次のオプションの 1 つを選択して、この ACL を適用するパケットの宛先を指定します。

• [Any]：任意の宛先（これは、デフォルト値です）。

• [IP Address]：特定の宛先。このオプションを選択した場合、編集ボックスに、宛先の IP アドレスとネットマスクを入力します。

d. [Protocol] ドロップダウン ボックスから、この ACL に使用する IP パケットのプロトコル ID を選択します。プロトコル オプションは次のとおりです。

• [Any]：任意のプロトコル（これは、デフォルト値です）

• [TCP]：Transmission Control Protocol

• [UDP]：ユーザ データグラム プロトコル

• [ICMP]：インターネット制御メッセージ プロトコル

• [ESP]：IP Encapsulating Security Payload

• [AH]：認証ヘッダー

• [GRE]：総称ルーティング カプセル化

• [IP in IP]：Internet Protocol（IP; インターネット プロトコル）内 IP。IP-in-IP パケットを許可または拒否します。

• [Eth Over IP]：Ethernet-over-Internet プロトコル

• [OSPF]：Open Shortest Path First

• [Other]：その他の Internet Assigned Numbers Authority（IANA）プロトコル

（注） [Other] を選択する場合は、[Protocol] 編集ボックスに目的のプロトコルの番号を入力します。使用可能なプロトコルの一覧と対応する番号については、次の URL を参照してください。http://www.iana.org/assignments/protocol-numbers

（注） コントローラは ACL の IP パケットのみを許可または拒否できます。他のタイプのパケット（ARP パケットなど）は指定できません。

e. 前の手順で [TCP] または [UDP] を選択すると、[Source Port] および [Destination Port] の 2 つのパラメータも追加で表示されます。これらのパラメータを使用すれば、特定の送信元ポートと宛先ポート、またはポート範囲を選択することができます。ポート オプションは、ネットワーキング スタックとのデータ送受信をするアプリケーションによって使用されます。一部のポートは、telnet、ssh、http などの特定のアプリケーション用に指定されています。

f. [DSCP] ドロップダウン ボックスから、次のオプションの 1 つを選択して、この ACL の Differentiated Service Code Point（DSCP）値を指定します。DSCP は、インターネット上のサービスの質を定義するのに使用できる IP ヘッダー フィールドです。

• [Any]：任意の DSCP（これは、デフォルト値です）

• [Specific]：DSCP 編集ボックスに入力する、0 ～ 63 の特定の DSCP

g. [Direction] ドロップダウン ボックスから、次のオプションの 1 つを選択して、この ACL を適用するトラフィックの方向を指定します。

• [Any]：任意の方向（これは、デフォルト値です）

• [Inbound]：クライアントから

• [Outbound]：クライアントへ

（注） この ACL をコントローラ CPU に適用することを計画している場合は、[Any] または [Inbound] を選択してください。これは、CPU ACL は、CPU から送信されたパケットではなく、CPU に送信されたパケットのみに適用されるためです。

h. [Action] ドロップダウン ボックスから、[Deny] を選択してこの ACL でパケットがブロックされるようにするか、[Permit] を選択してこの ACL でパケットが許可されるようにします。デフォルト値は [Deny] です。

i. [Apply] をクリックして、変更を適用します。[Access Control Lists > Edit] ページが再表示され、この ACL のルールが示されます。図 5-33 を参照してください。

図 5-33 [Access Control Lists > Edit] ページ

[Deny Counters] フィールドには、パケットが明示的拒否 ACL ルールに一致した回数が表示されます。[Number of Hits] フィールドには、パケットが ACL ルールに一致した回数が表示されます。これらのフィールドを有効にするには、[Access Control Lists] ページ上で ACL カウンタを有効にする必要があります。

（注） ルールを編集する場合は、希望のルールのシーケンス番号をクリックし、[Access Control Lists > Rules > Edit] ページを開きます。ルールを削除するには、目的のルールの青いドロップダウンの矢印の上にカーソルを置いて、[Remove] を選択します。

j. この ACL にさらにルールを追加するにはこの手順を繰り返します。

ステップ 8 [Save Configuration] をクリックして、変更を保存します。

ステップ 9 さらに ACL を追加するにはこの手順を繰り返します。

GUI を使用したアクセス コントロール リストの適用

コントローラ GUI を使用して ACL を適用するには、次の項の指示に従ってください。

• 「インターフェイスへのアクセス コントロール リストの適用」

• 「コントローラ CPU へのアクセス コントロール リストの適用」

• 「WLAN へのアクセス コントロール リストの適用」

• 「WLAN への事前認証アクセス コントロール リストの適用」

（注） インターフェイスまたは WLAN に ACL を適用すると、1 Gbps ファイル サーバからのダウンロードの際にワイヤレス スループットが低下します。スループットを改善するには、インターフェイスまたは WLAN から ACL を削除するか、ポリシー レート制限制約を持つ隣接有線デバイスに ACL を移動するか、1 Gbps ではなく 100 Mbps を使用してファイル サーバを接続します。

インターフェイスへのアクセス コントロール リストの適用

コントローラの GUI を使用して管理インターフェイス、AP マネージャ インターフェイス、または動的インターフェイスに ACL を適用する手順は、次のとおりです。

ステップ 1 [Controller] > [Interfaces] の順に選択します。

ステップ 2 目的のインターフェイスの名前をクリックします。そのインターフェイスの [Interfaces > Edit] ページが表示されます（図 5-34 を参照）。

図 5-34 [Interfaces > Edit] ページ

ステップ 3 [ACL Name] ドロップダウン ボックスから必要な ACL を選択し、[Apply] をクリックします。デフォルト値は [none] です。

（注） コントローラ インターフェイスの設定の詳細は、 を参照してください。

ステップ 4 [Save Configuration] をクリックして、変更を保存します。

コントローラ CPU へのアクセス コントロール リストの適用

コントローラの GUI を使用して、コントローラの CPU に ACL を適用し、CPU へのトラフィックを制御する手順は、次のとおりです。

ステップ 1 [Security] > [Access Control Lists] > [CPU] Access Control Lists] の順に選択します。[CPU Access Control Lists] ページが表示されます（図 5-35 を参照）。

図 5-35 [CPU Access Control Lists] ページ

ステップ 2 [Enable CPU ACL] チェックボックスをオンにして、指定した ACL でコントローラの CPU へのトラフィックを制御できるようにするか、チェックボックスをオフにして CPU ACL の機能を無効にし、CPU にすでに適用されている ACL をすべて削除します。デフォルトではオフになっています。

ステップ 3 [ACL Name] ドロップダウン ボックスから、コントローラの CPU へのトラフィックを制御する ACL を選択します。デフォルト値は [None] で、CPU ACL 機能は無効にされています。[CPU ACL Enable] チェックボックスをオンにして、[None] を選択すると、ACL を選択する必要があることを示すエラー メッセージが表示されます。

（注） このパラメータは、[CPU ACL Enable] チェックボックスをオンにした場合のみ使用できます。

ステップ 4 [CPU ACL Mode] ドロップダウン ボックスから、コントローラの CPU への転送が制限されるトラフィックのタイプ（有線、無線、または両方）を選択します。デフォルト値は [Wired] です。

（注） このパラメータは、[CPU ACL Enable] チェックボックスをオンにした場合のみ使用できます。

ステップ 5 [Apply] をクリックして、変更を適用します。

ステップ 6 [Save Configuration] をクリックして、変更を保存します。

WLAN へのアクセス コントロール リストの適用

コントローラの GUI を使用して ACL を WLAN に適用する手順は、次のとおりです。

ステップ 1 [WLANs] を選択して、[WLANs] ページを開きます。

ステップ 2 必要な WLAN の ID 番号をクリックして、[WLANs > Edit] ページを開きます。

ステップ 3 [Advanced] タブを選択して、[WLANs > Edit] （[Advanced]）ページを開きます（図 5-36 を参照）。

図 5-36 [WLANs > Edit] （[Advanced]）ページ

ステップ 4 [Override Interface ACL] ドロップダウン ボックスから、この WLAN に適用する ACL を選択します。選択した ACL は、インターフェイスに設定されたすべての ACL を上書きします。デフォルト値は [none] です。

（注） WLAN の設定の詳細は、 を参照してください。

ステップ 5 [Apply] をクリックして、変更を適用します。

ステップ 6 [Save Configuration] をクリックして、変更を保存します。

WLAN への事前認証アクセス コントロール リストの適用

コントローラの GUI を使用して事前認証 ACL を WLAN に適用する手順は、次のとおりです。

ステップ 1 [WLANs] を選択して、[WLANs] ページを開きます。

ステップ 2 必要な WLAN の ID 番号をクリックして、[WLANs > Edit] ページを開きます。

ステップ 3 [Security] タブおよび [Layer 3] タブを選択して、[WLANs > Edit] （[Security] > [Layer 3]）ページを開きます（図 5-37 を参照）。

図 5-37 [WLANs > Edit] （[Security] > [Layer 3]）ページ

ステップ 4 [Web Policy] チェックボックスをオンにします。

ステップ 5 [Preauthentication ACL] ドロップダウン ボックスから目的の ACL を選択し、[Apply] をクリックします。デフォルト値は [none] です。

（注） WLAN の設定の詳細は、 を参照してください。

ステップ 6 [Save Configuration] をクリックして、変更を保存します。

CLI を使用したアクセス コントロール リストの設定

コントローラ CLI を使用して ACL を設定する手順は、次のとおりです。

ステップ 1 コントローラ上に設定されているすべての ACL を表示するには、次のコマンドを入力します。

show acl summary

次のような情報が表示されます。

ステップ 2 特定の ACL の詳細情報を表示するには、次のコマンドを入力します。

show acl detailed acl_name

次のような情報が表示されます。

Counter フィールドはパケットが ACL ルールに一致する場合に毎回増分され、DenyCounter フィールドはパケットがいずれのルールにも一致しない場合に毎回増分されます。

ステップ 3 コントローラの ACL カウンタを有効または無効にするには、次のコマンドを入力します。

config acl counter { start | stop }

（注） ACL の現在のカウンタをクリアする場合は、次のコマンドを入力します。
clear acl counters acl_name

（注） ACL カウンタは、5500 シリーズ、4400 シリーズ、Cisco WiSM、および Catalyst 3750G 統合型無線 LAN コントローラ スイッチの各コントローラでのみ使用できます。

ステップ 4 新しい ACL を追加するには、次のコマンドを入力します。

config acl create acl_name

acl_name パラメータには、最大 32 文字の英数字を入力できます。

ステップ 5 ACL に新しいルールを追加するには、次のコマンドを入力します。

config acl rule add acl_name rule_index

ステップ 6 ACL ルールを設定するには、次のコマンドを入力します。

config acl rule {

action acl_name rule_index {permit | deny} |

change index acl_name old_index new_index |

destination address acl_name rule_index ip_address netmask |

destination port range acl_name rule_index start_port end_port |

direction acl_name rule_index {in | out | any} |

dscp acl_name rule_index dscp |

protocol acl_name rule_index protocol |

source address acl_name rule_index ip_address netmask |

source port range acl_name rule_index start_port end_port |

swap index acl_name index_1 index_2}

ルール パラメータの説明については、「GUI を使用したアクセス コントロール リストの設定」の ステップ 7 を参照してください。

ステップ 7 設定を保存するには、次のコマンドを入力します。

save config

（注） ACL を削除するには、config acl delete acl_name を入力します。ACL ルールを削除するには、config acl rule delete acl_name rule_index を入力します。

CLI を使用したアクセス コントロール リストの適用

コントローラ CLI を使用して ACL を適用する手順は、次のとおりです。

ステップ 1 次のいずれかの操作を行います。

• 管理インターフェイス、AP マネージャ インターフェイス、または動的インターフェイスに ACL を適用するには、次のコマンドを入力します。

config interface acl {management | ap-manager | dynamic_interface_name} acl_name

（注） インターフェイスに適用されている ACL を表示するには、show interface detailed {management | ap-manager | dynamic_interface_name} と入力します。インターフェイスに適用されている ACL を削除するには、config interface acl {management | ap-manager | dynamic_interface_name} none と入力します。

コントローラ インターフェイスの設定の詳細は、 を参照してください。

• ACL をデータ パスに適用するには、次のコマンドを入力します。

config acl apply acl_name

• ACL をコントローラの CPU に適用して、CPU に転送されるトラフィックのタイプ（有線、無線、または両方）を制限するには、次のコマンドを入力します。

config acl cpu acl_name {wired | wireless | both}

（注） コントローラ CPU に適用されている ACL を表示するには、show acl cpu と入力します。コントローラ CPU に適用されている ACL を削除するには、config acl cpu none と入力します。

• ACL を WLAN に適用するには、次のコマンドを入力します。

config wlan acl wlan_id acl_name

（注） WLAN に適用されている ACL を表示するには、show wlan wlan_id と入力します。WLAN に適用されている ACL を削除するには、config wlan acl wlan_id none と入力します。

• 事前認証 ACL を WLAN に適用するには、次のコマンドを入力します。

config wlan security web-auth acl wlan_id acl_name

WLAN の設定の詳細は、 を参照してください。

ステップ 2 設定を保存するには、次のコマンドを入力します。

save config

MFP の使用に関するガイドライン

MFP を使用する際のガイドラインは次のとおりです。

• MFP は、Cisco Aironet Lightweight アクセス ポイントでの使用がサポートされています。

• Lightweight アクセス ポイントでは、ローカル モードおよび監視モードで、およびアクセス ポイントがコントローラに接続されているときは Hybrid REAP モードで MFP がサポートされます。ローカル モード、Hybrid REAP モード、およびブリッジ モードで、MFP がサポートされます。

• クライアント MFP は、TKIP または AES-CCMP で WPA2 を使用する CCXv5 クライアントでの使用のみがサポートされています。

• クライアント MFP が無効にされているか、オプションである場合は、非 CCXv5 クライアントは WLAN にアソシエートできます。

GUI を使用した MFP の設定

コントローラ GUI を使用して MFP を設定する手順は、次のとおりです。

ステップ 1 [Security] > [Wireless Protection Policies] > [AP Authentication/MFP] の順に選択します。[AP Authentication Policy] ページが表示されます（図 5-38 を参照）。

図 5-38 [AP Authentication Policy] ページ

ステップ 2 コントローラでインフラストラクチャ MFP をグローバルに有効化するには、[Protection Type] ドロップダウン ボックスから [Management Frame Protection] を選択します。

ステップ 3 [Apply] をクリックして、変更を適用します。

（注） 複数のコントローラがモビリティ グループに含まれている場合は、インフラストラクチャ MFP に対して設定されているモビリティ グループ内のすべてのコントローラ上で、Network Time Protocol（NTP）サーバを設定する必要があります。

ステップ 4 コントローラで MFP をグローバルで有効化した後、特定の WLAN に対してインフラストラクチャ MFP 保護の無効化や再有効化を行う手順は、次のとおりです。

a. [WLANs] を選択します。

b. 目的の WLAN のプロファイル名をクリックします。[WLANs > Edit] ページが表示されます。

c. [Advanced] を選択します。[WLANs > Edit]（[Advanced]）ページが表示されます（図 5-39 を参照）。

図 5-39 [WLANs > Edit]（[Advanced]）ページ

d. [Infrastructure MFP Protection] チェックボックスをオフにしてこの WLAN に対して MFP を無効にするか、このチェックボックスをオンにしてこの WLAN に対して MFP を有効にします。デフォルト値は有効（enable）です。グローバル MFP が無効にされている場合、チェックボックスの右側のカッコ内に注意が表示されます。

e. [MFP Client Protection] ドロップダウン ボックスから、[Disabled]、[Optional]、または [Required] を選択します。デフォルト値は [Optional] です。[Required] を選択した場合、MFP がネゴシエートされている場合（つまり、WPA2 がコントローラ上で設定されており、クライアントが CCXv5 MFP をサポートしていて WPA2 に対して設定されている場合）のみ、クライアントはアソシエーションを許可されます。

f. [Apply] をクリックして、変更を適用します。

ステップ 5 コントローラでインフラストラクチャ MFP をグローバルで有効化した後、特定のアクセス ポイントに対してインフラストラクチャ MFP 検証の無効化や再有効化を行う手順は、次のとおりです。

a. [Wireless] > [Access Points] > [All APs] の順に選択して、[All APs] ページを開きます。

b. 目的のアクセス ポイントの名前をクリックします。

c. [Advanced] タブを選択します。[All APs > Details for]（[Advanced]）ページが表示されます。

d. [MFP Frame Validation] チェックボックスをオフにしてこのアクセス ポイントに対して MFP を無効にするか、このチェックボックスをオンにしてこのアクセス ポイントに対して MFP を有効にします。デフォルト値は有効（enable）です。グローバル MFP が無効にされている場合、チェックボックスの右側のカッコ内に注意が表示されます。

e. [Apply] をクリックして、変更を適用します。

ステップ 6 [Save Configuration] をクリックして、設定を保存します。

GUI を使用した MFP 設定の表示

コントローラの現在のグローバル MFP の設定を表示するには、[Security] > [Wireless Protection Policies] > [Management Frame Protection] の順に選択します。[Management Frame Protection Settings] ページが表示されます（図 5-40 を参照）。

図 5-40 [Management Frame Protection Settings] ページ

このページでは、次の MFP 設定が表示されます。

• [Management Frame Protection] フィールドは、インフラストラクチャ MFP がコントローラでグローバルに有効化されているかどうかを示します。

• [Controller Time Source Valid] フィールドは、コントローラの時刻が（時刻を手動で入力することにより）ローカルで設定されているか、外部ソース（NTP サーバなど）を通して設定されているかを示します。時刻が外部ソースにより設定されている場合、このフィールドの値は「True」です。時刻がローカルで設定されている場合、このフィールドの値は「False」です。時刻ソースは、モビリティ グループ内の複数のコントローラのアクセス ポイント間の管理フレーム上のタイムスタンプの検証に使用されます。

• [Infrastructure Protection] フィールドは、インフラストラクチャ MFP が個別の WLAN に対して有効化されているかどうかを示します。

• [Client Protection] フィールドは、クライアント MFP が個別の WLAN に対して有効化されているかどうかと、オプションまたは必須のいずれであるかを示します。

• [Infrastructure Validation] フィールドは、インフラストラクチャ MFP が個別のアクセス ポイントに対して有効化されているかどうかを示します。

CLI を使用した MFP の設定

コントローラ CLI を使用して MFP を設定するには、次のコマンドを使用します。

1. コントローラでインフラストラクチャ MFP をグローバルに有効または無効にするには、次のコマンドを入力します。

config wps mfp infrastructure {enable | disable}

2. WLAN で MFP シグニチャの生成を有効または無効にするには、次のコマンドを入力します。

config wlan mfp infrastructure protection {enable | disable} wlan_id

（注） シグニチャの生成は、インフラストラクチャ MFP がグローバルに有効にされている場合のみ、アクティブ化されます。

3. アクセス ポイントでインフラストラクチャ MFP 検証を有効または無効にするには、次のコマンドを入力します。

config ap mfp infrastructure validation {enable | disable} Cisco_AP

（注） MFP 検証は、インフラストラクチャ MFP がグローバルに有効にされている場合のみ、アクティブ化されます。

4. 特定の WLAN でクライアント MFP シグニチャを有効または無効にするには、次のコマンドを入力します。

config wlan mfp client {enable | disable} wlan_id [ required ]

クライアント MFP を有効にしてオプションの required パラメータを使用すると、MFP がネゴシエートされている場合のみ、クライアントはアソシエーションを許可されます。

CLI を使用した MFP 設定の表示

コントローラの CLI を使用して MFP の設定を表示するには、次のコマンドを使用します。

1. コントローラの現在の MFP の設定を表示するには、次のコマンドを入力します。

show wps mfp summary

次のような情報が表示されます。

2. 特定の WLAN の現在の MFP 設定を表示するには、次のコマンドを入力します。

show wlan wlan_id

次のような情報が表示されます。

3. 特定のアクセス ポイントの現在の MFP 設定を表示するには、次のコマンドを入力します。

show ap config general AP_name

次のような情報が表示されます。

4. 特定のクライアントでクライアント MFP が有効にされているかどうかを表示するには、次のコマンドを入力します。

show client detail client_mac

5. コントローラの MFP 統計を表示するには、次のコマンドを入力します。

show wps mfp statistics

次のような情報が表示されます。

（注） 実際に攻撃が進行中でない限り、このレポートにデータは含まれません。ここに示すさまざまなエラーの種類の例は、図示のみを目的としています。この表は 5 分ごとにクリアされ、データはネットワーク管理ステーションに転送されます。

CLI を使用した MFP に関する問題のデバッグ

MFP に関する問題が発生した場合は、次のコマンドを使用します。

• debug wps mfp ?{ enable | disable }

ここで、? は、次のいずれかを示します。

client ：クライアントの MFP メッセージのデバッグについて設定します。

capwap ：コントローラとアクセス ポイント間の MFP メッセージのデバッグについて設定します。

detail ：MFP メッセージの詳細なデバッグについて設定します。

report ：MFP レポートのデバッグについて設定します。

mm：MFP モビリティ（コントローラ間）メッセージのデバッグについて設定します。

GUI を使用したクライアント除外ポリシーの設定

コントローラの GUI を使用してクライアント除外ポリシーを設定する手順は、次のとおりです。

ステップ 1 [Security] > [Wireless Protection Policies] > [Client Exclusion Policies] の順に選択して、[Client Exclusion Policies] ページを開きます（図 5-41 を参照）。

図 5-41 [Client Exclusion Policies] ページ

ステップ 2 指定された条件においてコントローラでクライアントを除外するには、これらのいずれかのチェックボックスをオンにします。各除外ポリシーのデフォルトは有効です。

• [Excessive 802.11 Association Failures] ： クライアントは、802.11 アソシエーションの試行に 5 回連続して失敗すると、6 回目の試行で除外されます。

• [Excessive 802.11 Authentication Failures] ： クライアントは、802.11 認証の試行に 5 回連続して失敗すると、6 回目の試行で除外されます。

• [Excessive 802.1X Authentication Failures] ： クライアントは、802.1X 認証の試行に 3 回連続して失敗すると、4 回目の試行で除外されます。

• [IP Theft or IP Reuse] ： IP アドレスが他のデバイスにすでに割り当てられている場合、クライアントは除外されます。

• [Excessive Web Authentication Failures] ： クライアントは、Web 認証の試行に 3 回連続して失敗すると、4 回目の試行で除外されます。

ステップ 3 [Apply] をクリックして、変更を適用します。

ステップ 4 [Save Configuration] をクリックして、変更を保存します。

CLI を使用したクライアント除外ポリシーの設定

コントローラの CLI を使用してクライアント除外ポリシーを設定する手順は、次のとおりです。

ステップ 1 802.11 アソシエーションを 5 回連続して失敗した後、6 回目の試行でコントローラがクライアントを除外することを有効または無効にするには、次のコマンドを入力します。

config wps client-exclusion 802.11-assoc { enable | disable }

ステップ 2 802.11 認証を 5 回連続して失敗した後、6 回目の試行でコントローラがクライアントを除外することを有効または無効にするには、次のコマンドを入力します。

config wps client-exclusion 802.11-auth { enable | disable }

ステップ 3 802.1X 認証を 3 回連続して失敗した後、4 回目の試行でコントローラがクライアントを除外することを有効または無効にするには、次のコマンドを入力します。

config wps client-exclusion 802.1x-auth { enable | disable }

ステップ 4 IP アドレスが別のデバイスにすでに割り当てられている場合に、クライアントを除外するようにコントローラを有効または無効にするには、次のコマンドを入力します。

config wps client-exclusion ip-theft { enable | disable }

ステップ 5 Web 認証を 3 回連続して失敗した後、4 回目の試行でコントローラがクライアントを除外することを有効または無効にするには、次のコマンドを入力します。

config wps client-exclusion web-auth { enable | disable }

ステップ 6 上記のすべての理由でコントローラがクライアントを除外することを有効または無効にするには、次のコマンドを入力します。

config wps client-exclusion all { enable | disable }

ステップ 7 変更を保存するには、次のコマンドを入力します。

save config

ステップ 8 クライアント除外ポリシー構成設定を表示するには、このコマンドを入力します。

show wps summary

次のような情報が表示されます。

ID ネットワーキングの概要

ほとんどの無線 LAN システムの場合、各 WLAN に静的なポリシーがあり、SSID が設定されているすべてのクライアントに適用されます。これは強力な方式ですが、クライアントに複数の Quality of Service（QoS）およびセキュリティ ポリシーを適用するには、そのクライアントに複数の SSID を設定する必要があるために、限界がありました。

これに対して Cisco Wireless LAN Solution は、ID ネットワーキングをサポートしています。これは、ネットワークが 1 つの SSID をアドバタイズできるようにすると同時に、特定のユーザに対して、ユーザ プロファイルに基づいて異なる QoS またはセキュリティ ポリシーの適用を可能にするものです。ID ネットワーキングを使用して制御できるポリシーには、次のものがあります。

• Quality of Service。RADIUS Access Accept に QoS-Level 値が指定されている場合、WLAN プロファイルで指定された QoS 値が上書きされます。

• ACL。RADIUS Access Accept に ACL 属性が指定されている場合、システムでは ACL-Name が認証後にクライアント ステーションに適用されます。これにより、そのインターフェイスに割り当てられている ACL がすべて上書きされます。

• VLAN。VLAN Interface-Name または VLAN-Tag が RADIUS Access Accept に存在する場合は、クライアントが特定のインターフェイス上に配置されます。

（注） VLAN 機能は、MAC フィルタリング、802.1X、および WPA のみをサポートします。Web 認証または IPSec はサポートしません。

• トンネル属性。

（注） この項で後述する他の RADIUS 属性（QoS-Level、ACL-Name、Interface-Name、または VLAN-Tag）のいずれかを返す場合、トンネル属性も返す必要があります。

オペレーティング システムのローカル MAC フィルタ データベースは、インターフェイス名を含むように拡張され、ローカル MAC フィルタで、クライアントが割り当てられるインターフェイスを指定できるようになりました。別の RADIUS サーバも使用できますが、その RADIUS サーバは [Security] メニューを使用して定義する必要があります。

ID ネットワーキングで使用される RADIUS 属性

この項では、ID ネットワーキングで使用される RADIUS 属性について説明します。

QoS-Level

この属性は、スイッチング ファブリック内および空間経由のモバイル クライアントのトラフィックに適用される Quality of Service レベルを示します。この例は、QoS-Level 属性フォーマットの要約を示しています。フィールドは左から右に伝送されます。

• Type - 26（ベンダー固有）

• Length - 10

• Vendor-Id - 14179

• Vendor type - 2

• Vendor length - 4

• Value - 3 オクテット：

– 0 - Bronze（バックグラウンド）

– 1 - Silver（ベストエフォート）

– 2 - Gold（ビデオ）

– 3 - Platinum（音声）

ACL-Name

この属性は、クライアントに適用される ACL 名を示します。ACL-Name 属性形式の要約を次に示します。フィールドは左から右に伝送されます。

• Type - 26（ベンダー固有）

• Length - >7

• Vendor-Id - 14179

• Vendor type - 6

• Vendor length - >0

• Value - クライアントに対して使用する ACL の名前を含む文字列

Interface-Name

この属性は、クライアントが関連付けられる VLAN インターフェイスを示します。Interface-Name 属性形式の要約を次に示します。フィールドは左から右に伝送されます。

• Type - 26（ベンダー固有）

• Length - >7

• Vendor-Id - 14179

• Vendor type - 5

• Vendor length - >0

• Value - クライアントが割り当てられるインターフェイスの名前を含む文字列

（注） この属性は、MAC フィルタリングが有効になっている場合、またはセキュリティ ポリシーとして 802.1X または WPA が使用されている場合にのみ機能します。

VLAN-Tag

この属性は、特定のトンネル セッションのグループ ID を示し、Tunnel-Private-Group-ID 属性とも呼ばれます。

この属性は、トンネルの発信側が、特定の接続からグループを事前に判別できる場合は Access-Request パケットに含めることができ、このトンネル セッションを特定のプライベート グループに属するものとして処理する場合は Access-Accept パケットに含める必要があります。プライベート グループは、トンネル セッションを特定のユーザのグループと関連付けるために使用できます。たとえば、未登録の IP アドレスが特定のインターフェイスを通過するようにするルーティングを容易にするために使用できます。Start と Stop のいずれかの値を持つ Acct-Status-Type 属性を含み、かつトンネル セッションに関連する Accounting-Request パケットには、プライベート グループを含める必要があります。

Tunnel-Private-Group-ID 属性形式の要約を次に示します。フィールドは左から右に伝送されます。

• Type - 81（Tunnel-Private-Group-ID 用）

• Length - >= 3

• Tag - Tag フィールドは、長さが 1 オクテットで、同じパケット内の、同じトンネルを示す属性をグループ化するために使用されます。Tag フィールドの値が 0x00 より大きく、0x1F 以下である場合、（いくつかの選択肢のうちの）この属性が属するトンネルを示すと解釈されます。Tag フィールドが 0x1F より大きい場合、後続の String フィールドの最初のバイトとして解釈されます。

• String - このフィールドは必須です。グループはこの String フィールドによって表されます。グループ ID の形式に制約はありません。

トンネル属性

（注） この項の他の RADIUS 属性（QoS-Level、ACL-Name、Interface-Name、または VLAN-Tag）のいずれかを返す場合、トンネル属性も返す必要があります。

RFC2868 では、認証と認可に使用される RADIUS トンネル属性が定義されています。RFC2867 では、アカウンティングに使用されるトンネル属性が定義されています。IEEE 802.1X Authenticator がトンネリングをサポートしている場合は、認証の結果としてサプリカントに対して強制的なトンネルをセットアップできます。

これは、特に、認証の結果に基づいて IEEE8021Q で定義されている特定のバーチャル LAN（VLAN）にポートを配置できるようにする場合に適しています。たとえば、これを使用すると、無線ホストが大学のネットワーク内で移動するときに同じ VLAN 上にとどまれるようになります。

RADIUS サーバは、一般的に、Access-Accept 内にトンネル属性を含めることによって目的の VLAN を示します。ただし、IEEE 802.1X Authenticator も、Access- Request 内にトンネル属性を含めることによってサプリカントに割り当てる VLAN に関するヒントを提供できます。

VLAN 割り当てのために、次のトンネル属性が使用されます。

• Tunnel-Type=VLAN（13）

• Tunnel-Medium-Type=802

• Tunnel-Private-Group-ID=VLANID

VLANID は 12 ビットであり、1 ～ 4094（両端の値を含む）の値をとることに注意してください。Tunnel-Private-Group-ID は、RFC2868 で定義されているように String 型なので、IEEE 802.1X で使用するために VLANID 整数値は文字列としてエンコードされます。

トンネル属性が送信されるときは、Tag フィールドに値が含まれている必要があります。RFC2868 の第 3.1 項には次のように明記されています。

• この Tag フィールドは長さが 1 オクテットであり、同じパケット内で同じトンネルを示す属性をグループ化する方法を提供することを目的としています。このフィールドの有効な値は、0x01 ～ 0x1F（両端の値を含む）です。この Tag フィールドが使用されない場合は、ゼロ（0x00）である必要があります。

• Tunnel-Client-Endpoint、Tunnel-Server-Endpoint、Tunnel-Private-Group-ID、Tunnel-Assignment-ID、Tunnel-Client-Auth-ID、または Tunnel-Server-Auth-ID 属性（ただし Tunnel-Type、Tunnel-Medium-Type、Tunnel-Password、Tunnel-Preference は含まない）で使用する場合、0x1F より大きい Tag フィールドは、次のフィールドの最初のオクテットと解釈されます。

• 代替トンネル タイプが提供されない場合（たとえば、トンネリングはサポートしているが VLAN はサポートしていない IEEE 802.1X Authenticator の場合）、トンネル属性に必要なのは 1 つのトンネルを指定することのみです。したがって、VLANID を指定することのみが目的の場合、すべてのトンネル属性の Tag フィールドをゼロ（0x00）に設定する必要があります。代替トンネル タイプが提供される場合は、0x01 ～ 0x1F のタグ値を選択する必要があります。

AAA Override の設定

WLAN の Allow AAA Override オプションを使用すると、WLAN で ID ネットワーキングを設定できます。これにより、AAA サーバから返される RADIUS 属性に基づいて、個々のクライアントに VLAN タギング、QoS、および ACL を適用できます。

（注） AAA Override のためにクライアントが新しいインターフェイスに移動したあと、そのインターフェイスに ACL を適用しても、クライアントが再認証されるまで ACL は有効になりません。この問題を回避するには、インターフェイス上ですでに設定された ACL にすべてのクライアントが接続するように、ACL を適用してから WLAN を有効にするか、クライアントが再認証されるように、インターフェイスを適用した後で WLAN を一旦無効にし、再び有効にします。

AAA Override を許可する設定の多くは、RADIUS サーバで実行されます。RADIUS サーバでは、コントローラに返すようにする上書きプロパティで、Access Control Server（ACS）を設定する必要があります。

コントローラでは、GUI または CLI を使用して、Allow AAA Override 設定パラメータを有効にするだけです。このパラメータを有効にすることにより、コントローラで RADIUS サーバから返される属性を受け入れるようになります。次にコントローラはそれらの属性をクライアントに適用します。

正しい QoS 値を取得するための RADIUS サーバ ディクショナリ ファイルの更新

Steel-Belted RADIUS（SBR）、FreeRadius、または同等の RADIUS サーバを使用している場合、AAA Override 機能を有効化した後、クライアントが正しい QoS 値を取得できないことがあります。ディクショナリ ファイルの編集を可能にするこれらのサーバについて、正しい QoS 値（Silver = 0、Gold = 1、Platinum = 2、Bronze = 3）を反映させてファイルを更新する必要があります。そのための手順は、次のとおりです。

（注） この問題は、Cisco Secure Access Control Server（ACS）には適用されません。

ステップ 1 SBR サービス（または他の RADIUS サービス）を停止します。

ステップ 2 次のテキストを、ciscowlan.dct として Radius_Install_Directory¥Service フォルダに保存します。